zur praktischen Umsetzung der Datenschutz … · zum Datenschutz bei Polizei und Justiz) in das Recht der Mitgliedstaaten umzusetzen. ... Fragestellungen werden die Arbeitshilfen

Bayerisches Staatsministerium des Innern und für Integration

www.innenminister ium.bayern.de

Arbeitshilfen

zur praktischen Umsetzung der

Datenschutz-Grundverordnung,

der Richtlinie (EU) 2016/680

(Richtlinie zum Datenschutz bei Poli-

zei und Justiz) und des neuen

Bayerischen Datenschutzgesetzes

für bayerische öffentliche Stellen

Stand: Mai 2018

2

Inhalt

1. Vorwort 5

2. Einführung 7

2.1 Die Datenschutzreform der Europäischen Union 7

2.2 Der Anwendungsbereich der DSGVO 8

2.3 Das neue Bayerische Datenschutzgesetz (BayDSG) 8

2.4 Schwerpunkt der Änderungen 9

Neue zentrale Rolle des Verantwortlichen nach der Datenschutz-2.4.1

Grundverordnung 9

Neue datenschutzrechtliche Begriffe 10 2.4.2

Zulässigkeit der Verarbeitung personenbezogener Daten 11 2.4.3

Umfangreiche Verfahrensänderungen 11 2.4.4

Aufgaben und Stellung des behördlichen Datenschutzbeauftragten 13 2.4.5

2.5 Wie gehe ich künftig vor, um die richtige Rechtsgrundlage für die Lösung einer

datenschutzrechtlichen Frage zu finden? 14

2.6 Welche praktischen Anpassungsaufgaben sind vordringlich? 14

Zuständigkeiten für die am Datenschutz Beteiligten neu festlegen 14 2.6.1

Den Bestand an Verarbeitungen erfassen 14 2.6.2

Aufgaben und Stellung des behördlichen Datenschutzbeauftragten festlegen 15 2.6.3

3. Maßnahmenplan für den Verantwortlichen zur Umsetzun g der DSGVO 16

4. Datenschutz-Geschäftsordnung 19

4.1 Muster einer Datenschutz-Geschäftsordnung 21

4.2 Erläuterungen zur Datenschutz-Geschäftsordnung 31

4.3 Anlage 1 (zu § 2) 39

4.4 Anlage 2 (zu § 6) 40

5. Das Verzeichnis der Verarbeitungstätigkeiten 44

5.1 Welche öffentlichen Stellen müssen ein Verarbeitungsverzeichnis führen? 45

3

5.2 Weiterverwendung vorhandener Verfahrensverzeichnisse 45

5.3 Keine Veröffentlichungspflicht, kein Recht auf Einsichtnahme 45

5.4 Muster einer Beschreibung einer Verarbeitungstätigkeit nach Art. 30 Abs. 1 DSGVO

und Art. 31 BayDSG 47

5.5 Erläuterungen zum Muster 49

6. Die Informationspflichten des Verantwortlichen nach Art. 13 und 14 DSGVO 55

6.1 Allgemeines zu den Informationspflichten 55

6.2 In welchen Fällen besteht eine Informationspflicht? 55

6.3 Wann muss die Information erfolgen (Art. 13 Abs. 1 und Abs. 3, Art. 14 Abs. 3 und

Abs. 4 DSGVO)? 56

6.4 Informationspflicht bei einer Videoüberwachung 57

6.5 1. Fallgruppe: Informationspflicht bei einer Erhebung bei der betroffenen Person 57

Liegt ein Fall des Art. 13 DSGVO vor? 57 6.5.1

Besteht eine Ausnahme von der Informationspflicht 58 6.5.2

Form und Inhalt der Information 59 6.5.3

6.6 2. Fallgruppe: Informationspflicht bei einer Erhebung nicht bei der betroffenen

Person 62

Liegt eine Erhebung nach Art. 14 DSGVO vor? 62 6.6.1

Ausnahmen von der Informationspflicht 63 6.6.2

Form und Inhalt 64 6.6.3

6.7 3. Fallgruppe: Informationspflicht bei einer Zweckänderung 64

Zweckänderung innerhalb der öffentlichen Stelle, die die Daten bei der 6.7.1

betroffenen Person erhoben hat 65

Zweckänderung innerhalb der öffentlichen Stelle, die Daten nicht bei der 6.7.2

betroffenen Person erhoben hat 65

Keine Informationspflicht bei Übermittlung von Daten an eine andere öffentliche 6.7.3

Stelle auf deren Ersuchen 65

6.8 Mustertext 1: Informationspflichten bei einer Erhebung von Daten bei der

betroffenen Person Art. 13 DSGVO 67

4

6.9 Mustertext 2: Informationspflichten bei einer Erhebung von Daten nicht bei der

betroffenen Person, Art. 14 DSGVO 73

7. Auftragsverarbeitung 75

8. Datenschutz-Folgenabschätzung und Risikobewertung n ach der DSGVO 76

9. Muster einer Zweckvereinbarung für einen gemeinsame n behördlichen

Datenschutzbeauftragten 77

10. Mitwirkende 78

5

1. Vorwort

Ab dem 25. Mai 2018 ist die von der Europäischen Union erlassene Datenschutz-

Grundverordnung (DSGVO) für die bayerischen Behörden unmittelbar anzuwenden. Zum

gleichen Zeitpunkt ist auch die Richtlinie (EU) 2016/680 der Europäischen Union (Richtlinie

zum Datenschutz bei Polizei und Justiz) in das Recht der Mitgliedstaaten umzusetzen.

Das Datenschutzrecht des Bundes und Bayerns ist an die beiden Rechtakte der EU anzu-

passen. Der Bund hat bereits ein neues Bundesdatenschutzgesetz (BDSG) erlassen, in

Bayern hat die Staatsregierung einen Gesetzentwurf zur Neufassung des Bayerischen Da-

tenschutzgesetzes (BayDSG) und zur Änderung anderer Gesetze dem Bayerischen Landtag

zugeleitet.

Ab dem 25. Mai 2018 führt dies zu einer neuen Struktur des Datenschutzrechts. Ergänzend

zur Datenschutz-Grundverordnung als direkt anwendbares Recht haben die bayerischen

Behörden künftig das neu gefasste BayDSG und – je nach Verwaltungsbereich – weiterhin

auch datenschutzrechtliche Fachvorschriften zu beachten. Trotz der Strukturveränderungen

bleiben die wesentliche materiellen Kernelemente und damit viele bekannte und handhabba-

re Regelungen wie z.B. zur Zweckbindung und Datenübermittlung erhalten. Gleichwohl

bringt die Datenschutz-Grundverordnung dennoch Verfahrensänderungen mit sich, die in die

Organisationsstrukturen und Verwaltungsabläufe öffentlicher Stellen einzupassen bleiben.

Die Datenschutz-Grundverordnung richtet sich damit nicht nur an den behördlichen Daten-

schutzbeauftragten als dem zentralen Datenschutzexperten vieler Organisationseinheiten,

sie erfordert ein umfassendes Zusammenspiel von Organisationsverantwortlichen, IT-

Beauftragten und Fachabteilungen.

Die vorliegenden Arbeitshilfen sollen den Anpassungsaufwand der Datenschutzpraxis unter

Ausschöpfung der Interpretationsspieleräume des neuen europäischen Datenschutzrechts

begrenzen und dazu nach Möglichkeit, insbesondere soweit nicht technische oder gesetzli-

che Änderungen eintreten, auf einmalige Maßnahmen beschränken. Sie wurden mit Unter-

stützung einer Arbeitsgruppe aus Vertretern der staatlichen und kommunalen Datenschutz-

praxis und unter der Beteiligung des Bayerischen Landesbeauftragten für den Datenschutz

und der Kommunalen Spitzenverbände erstellt.

6

Wegen der Vielzahl der mit einer grundlegenden Rechtsreform unvermeidbar verbundenen

Fragestellungen werden die Arbeitshilfen kontinuierlich überprüft und bei Bedarf fortge-

schrieben. Dies gilt insbesondere für Regelungen zur Auftragsverarbeitung und zur kommu-

nalen Zusammenarbeit. Für den Bereich der Bayerischen Polizei werden zeitnah gesonderte

Hilfestellungen bereitgestellt.

Weitere aktuelle Informationen können auch der Internetseite des Landesbeauftragten für

den Datenschutz unter www.datenschutz-bayern.de entnommen werden.

7

2. Einführung

2.1 Die Datenschutzreform der Europäischen Union

Seit dem 25. Mai 2018 ist die DSGVO in den bayerischen Behörden und sonstigen öffentli-

chen Stellen anzuwenden. Als europäische Verordnung ist die DSGVO unmittelbar gelten-

des Recht. Entgegenstehende Regelungen der Mitgliedsländer sind seit diesem Zeitpunkt

nicht mehr anzuwenden.

Das Datenschutzrecht im Bund und in Bayern ist an die DSGVO anzupassen. Der Bund hat

ein neues Bundesdatenschutzgesetz (BDSG 2018) und weitere Änderungen datenschutz-

rechtlicher Vorschriften verabschiedet, z.B. auch eine Neufassung der Datenschutzvorschrif-

ten in der Abgabenordnung und im Ersten und Zehnten Buch Sozialgesetzbuch. Der Bayeri-

sche Landtag hat am 15.Mai 2018 ein neues Bayerisches Datenschutzgesetz verabschiedet

(im Folgenden als BayDSG bezeichnet), das am 25. Mai 2018 in Kraft getreten ist.1

Trotz ihrer unmittelbaren Geltung als EU-Verordnung lässt die DSGVO für die nationalen

Gesetzgeber besonders im öffentlichen Bereich über sogenannte „Öffnungsklauseln“ bzw.

Regelungsermächtigungen noch Regelungsspielräume für Konkretisierungen der DSGVO.

Von diesem verbleibenden Regelungsspielraum für den Landesgesetzgeber hat die Staats-

regierung im Interesse einer effektiven Verwaltung im BayDSG umfangreich Gebrauch ge-

macht und bewährte Grundfunktionen und Strukturen des geltenden Datenschutzrechts be-

wahrt.

Bis zum 25. Mai 2018 war auch die zusammen mit der DSGVO verabschiedete Richtlinie

zum Datenschutz bei Polizei und Justiz von den Mitgliedstaaten der Europäischen Union in

nationales Recht umzusetzen. Anders als die DSGVO ist diese Richtlinie nicht unmittelbar

anwendbar, sondern muss zuvor vom Gesetzgeber in Bundes- oder Landesrecht umgesetzt

werden.

1 GVBl. S. 230.

8

2.2 Der Anwendungsbereich der DSGVO

Der Anwendungsbereich der DSGVO und der Richtlinie zum Datenschutz bei Polizei und

Justiz schließen sich gegenseitig aus:

� Die DSGVO gilt unmittelbar für alle öffentlichen Stellen, soweit diese keine Tätigkeit im

Anwendungsbereich der Richtlinie zum Datenschutz bei Polizei und Justiz ausüben.

� Die Richtlinie zum Datenschutz bei Polizei und Justiz gilt für die Verarbeitung personen-

bezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung, Verfolgung oder

Ahndung von Straftaten oder Ordnungswidrigkeiten, einschließlich des Schutzes vor und

der Abwehr von Gefahren für die öffentliche Sicherheit. Betroffen sind vor allem die Poli-

zei, die Gerichte in Strafsachen und die Staatsanwaltschaften, die Strafvollstreckungs-

und Justizvollzugsbehörden und die Behörden des Maßregelvollzugs.

2.3 Das neue Bayerische Datenschutzgesetz (BayDSG)

Zur Anpassung an die DSGVO und der Umsetzung der Richtlinie für den Datenschutz bei

Polizei und Justiz ist eine Neufassung des Bayerischen Datenschutzgesetzes erforderlich,

die das geltende BayDSG ersetzen wird.

Das BayDSG gilt für die Behörden und sonstigen öffentlichen Stellen des Freistaates Bay-

ern, der Gemeinden, Gemeindeverbände und der sonstigen der Aufsicht des Freistaates

Bayern unterstehenden juristischen Personen des öffentlichen Rechts (Art. 1 Abs. 1

BayDSG).

Soweit öffentliche Stellen als Unternehmen am Wettbewerb teilnehmen, gelten für sie selbst,

ihre Zusammenschlüsse und Verbände die Vorschriften für nicht öffentliche Stellen – ergän-

zend zu den Vorschriften der DSGVO also insbesondere die Vorschriften des BDSG 2018.

Die Zuständigkeit des Landesbeauftragten für den Datenschutz für die Aufsicht bleibt hiervon

unberührt (Art. 1 Abs. 3 BayDSG).

Keine Wettbewerbsunternehmen in diesem Sinne sind die Einrichtungen der Kinderbe-

treuung, Schulen und Hochschulen.

Wesentliche Regelungen des BayDSG

� Der Gesetzentwurf enthält die Anpassung des BayDSG und 23 weiterer Gesetze an die

DSGVO.

� Mit Art. 28 bis 37 BayDSG werden allgemeine und organisationsrechtliche Anforderun-

gen der Richtlinie zum Datenschutz bei Polizei und Justiz in das bayerische Landesrecht

umgesetzt. Nach Art. 2 und Art. 28 Abs. 2 und 3 BayDSG wird auch in diesem Bereich

9

weitgehend auf die Anwendung der Vorschriften der DSGVO verwiesen, um Abgren-

zungsprobleme zwischen dem Geltungsbereich der Richtlinie und der DSGVO möglichst

zu vermeiden. Das voraussichtlich zum 25. Mai 2018 in Kraft tretende PAG 2018 und die

vom Bund noch anzupassende StPO werden vorrangige Sondervorschriften für die Poli-

zei und Staatsanwaltschaften enthalten.

Auf die Tätigkeit der Gemeinden und sonstigen Behörden außerhalb des Polizei- und

Strafverfolgungsbereichs sind die Art. 28 bis 37 BayDSG nur dann anwendbar, wenn

Ordnungswidrigkeiten verfolgt oder geahndet werden und keine spezialgesetzlichen Vor-

schriften (z.B. im OWiG) bestehen (Art. 28 Abs. 1 Satz 2 BayDSG).

� Der Gesetzentwurf enthält außerdem Regelungen zum Datenschutz in Bereichen, die

weder der DSGVO noch der Richtlinie für den Datenschutz bei Polizei und Justiz unter-

liegen. Auch für diese Bereiche wird weitgehend auf die Regelungen der DSGVO verwie-

sen (Art. 2 BayDSG). Neu ist insbesondere die Regelung zur Verarbeitung personenbe-

zogener Daten zur Vorbereitung und Durchführung staatlicher und kommunaler Aus-

zeichnungen und Ehrungen (Art. 27 BayDSG).

� Die in Art. 38 BayDSG enthaltene Regelung zur Datenverarbeitung zu journalistischen,

künstlerischen und literarischen Zwecken gilt grundsätzlich auch für nicht öffentliche Stel-

len.

2.4 Schwerpunkt der Änderungen

Neue zentrale Rolle des Verantwortlichen nach der Datenschutz-2.4.1

Grundverordnung

Die DSGVO weist dem „Verantwortlichen“ bei der Verarbeitung personenbezogener Daten

eine zentrale Rolle zu. „Verantwortlicher“ ist nach Art. 4 Nr. 7 DSGVO „die natürliche oder

juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit

anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten ent-

scheidet“.

Art. 3 Abs. 2 BayDSG stellt klar, dass Verantwortlicher für die Verarbeitung personenbe-

zogener Daten im Sinne der DSGVO die für die Verarbeitung zuständige öffentliche Stel-

le ist, soweit nichts anderes bestimmt ist. Im öffentlichen Bereich ist damit weiterhin die

Behörde oder sonstige öffentliche Stelle gemeint (z.B. die Gemeinde oder das Landrats-

amt), die eine Datenverarbeitung zur Erfüllung ihrer Aufgaben durchführt.

Der Verantwortliche hat sicherzustellen, dass

10

� die materiellen Vorschriften über die Zulässigkeit der Verarbeitung personenbezogener

Daten durch die öffentliche Stelle eingehalten werden. Die Zulässigkeit der Verarbeitung

wird insbesondere in den Art. 5, 6 und 9 DSGVO, in Art. 4 Abs. 1 BayDSG und in fach-

gesetzlichen Datenschutzvorschriften geregelt,

� die Verfahrensvorschriften der DSGVO beachtet werden. Dies gilt z.B. für die Führung

des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO, die Melde- und

Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und die Durchführung von Da-

tenschutz-Folgenabschätzungen nach Art. 35 DSGVO und Art. 14 BayDSG,

� die datenschutzrechtlichen Informationspflichten nach Art. 13 und 14 DSGVO i.V.m. Art.

9 BayDSG und die sonstigen Rechte der Betroffenen beachtet werden (z.B. das Aus-

kunftsrecht nach Art. 15 DSGVO und Art. 10 BayDSG, das Recht auf Löschung nach Art.

17 DSGVO und das Widerspruchsrecht nach Art. 21 DSGVO),

� geeignete technische und organisatorische Maßnahmen zum Schutz der verarbeiteten

Daten getroffen werden (Art. 24 Abs. 1 und Art. 32 DSGVO) und

� geeignete sonstige Datenschutzvorkehrungen getroffen werden (z.B. Datenschutzrichtli-

nien oder sonstige Datenschutzanweisungen nach Art. 24 Abs. 2 DSGVO).

Wer die vielfältigen Pflichten des Verantwortlichen in der öffentlichen Stelle konkret er-

füllt, ist von der Leitung der öffentlichen Stelle festzulegen. Regelmäßig ist dabei zwi-

schen zentralen Ansprechpartnern für IT, Organisation und Datenschutz sowie den

Fachabteilungen zu unterscheiden. Außerdem sind die Verwaltungsabläufe so zu gestal-

ten, dass die Einhaltung datenschutzrechtlicher Bestimmungen sichergestellt ist. Die

Letztverantwortlichkeit verbleibt bei der Behördenleitung. Kapitel 4 dieser Arbeitshilfen

enthält ein Muster für eine Datenschutz-Geschäftsordnung, in der diese Aufgabenzuwei-

sungen und Verfahrensabläufe beschrieben werden.

Neue datenschutzrechtliche Begriffe 2.4.2

Art. 4 DSGVO enthält Begriffsbestimmungen, die teils den bisher im Datenschutzrecht ver-

wendeten Begriffen entsprechen, sich teilweise aber auch von diesen unterscheiden. Anders

als bisher im BayDSG umfasst z.B. die „Verarbeitung“ nach Art. 4 Nr. 2 DSGVO künftig jegli-

chen Umgang mit personenbezogenen Daten, also insbesondere auch alles, was im bisheri-

gen Recht als „Erhebung“ oder „Nutzung“ bezeichnet wurde.

11

Zulässigkeit der Verarbeitung personenbezogener Da ten 2.4.3

Die DSGVO enthält nur begrenzte materielle Rechtsänderungen, die Vorschriften der DSG-

VO zur Zulässigkeit der Verarbeitung personenbezogener Daten sind zudem sehr allgemein

gehalten.

Die Öffnungsklauseln der DSGVO und die Befugnis zur Konkretisierung ihrer allgemeinen

Vorschriften ermöglichen darüber hinaus die weitgehende Beibehaltung der bisherigen, ge-

genüber dem BayDSG weiterhin vorrangigen datenschutzrechtlichen Spezialvorschriften

etwa im Schul- oder Krankenhausrecht.

Neben diesen fachgesetzlichen Befugnisnormen wird künftig Art. 4 Abs. 1 BayDSG we-

sentliche Grundlage für die Verarbeitung personenbezogener Daten durch bayerische öf-

fentliche Stellen sein:

„Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist unbescha-

det sonstiger Bestimmungen zulässig, wenn sie zur Erfüllung einer ihr obliegenden Auf-

gabe erforderlich ist.“

Ergänzend hierzu kommen als Rechtsgrundlagen für die Verarbeitung personenbezogener

Daten durch bayerische öffentliche Stellen künftig Art. 6 Abs. 1 Buchstabe a (Einwilligung der

betroffenen Person, vgl. dazu DSGVO-Erwägungsgrund 43), Buchstabe b (Verarbeitung für

die Erfüllung eines Vertrags) oder Buchstabe d DSGVO (Verarbeitung, um lebenswichtige

Interessen der betroffenen Person oder anderer Personen zu schützen) in Betracht. Für die

Verarbeitung besonderer Kategorien personenbezogener Daten enthalten Art. 9 DSGVO in

Verbindung mit Art. 8 Abs. 1 BayDSG enger gefasste Erlaubnistatbestände.

Neben den jeweiligen Erlaubnistatbeständen müssen bei Verarbeitungen zu anderen

Zwecken, etwa im Fall einer Übermittlung zur Erfüllung der Aufgaben der empfangenden

Behörde (Art. 5 Abs. 1 Satz. 1 Nr. 1 BayDSG), zusätzlich die Voraussetzungen einer

Zweckänderung gem. Art. 6 Abs. 4 DSGVO und Art. 6 BayDSG beachtet werden.

Umfangreiche Verfahrensänderungen 2.4.4

Schwerpunkt der anstehenden Anpassungsaufgaben an die DSGVO und das neue BayDSG

sind die umfangreichen Verfahrensänderungen im Datenschutz.

� Das bisherige Verfahrensverzeichnis nach Art. 27 BayDSG wird durch das Verzeichnis

der Verarbeitungstätigkeiten nach Art. 30 DSGVO abgelöst. Dieses Verzeichnis ist vom

Verantwortlichen – und nicht mehr wie das bisherige Verfahrensverzeichnis zwingend

12

vom behördlichen Datenschutzbeauftragten – zu führen. Kapitel 5 dieser Arbeitshilfen

enthält dazu nähere Ausführungen und ein Muster.

� Die datenschutzrechtliche Freigabe automatisierter Verfahren durch den behördlichen

Datenschutzbeauftragten entfällt ersatzlos. Dem behördlichen Datenschutzbeauftragten

ist nach Art. 12 Abs. 1 Satz 1 Nr. 2 BayDSG künftig allerdings Gelegenheit zur Stellung-

nahme vor dem erstmaligen Einsatz oder einer wesentlichen Änderung eines automati-

sierten Verfahrens zu geben, mit dem personenbezogene Daten verarbeitet werden.

� Vor dem Einsatz „hochrisikoträchtiger“ und eingriffsintensiver Verarbeitungen ist künftig

das neu eingeführte Verfahren einer Datenschutz-Folgenabschätzung nach Art. 35

DSGVO durchzuführen (vgl. auch Art. 14 BayDSG). Der Landesbeauftragte für den Da-

tenschutz wird hierzu ergänzend eine – nicht abschließende – Liste von Verarbeitungen

veröffentlichen, für die ein solches Verfahren durchzuführen ist. Für Datenverarbeitun-

gen, die am 25. Mai 2018 bereits durchgeführt werden und in die Kategorie „hoch-

risikoträchtiger“ Verarbeitungen im Sinne des Art. 35 DSGVO einzustufen wären, ist eine

Datenschutz-Folgenabschätzung spätestens bis Mai 2021 durchzuführen, soweit die

Verarbeitung ohne wesentliche Änderung fortgesetzt wird.

Nummer 8 dieser Arbeitshilfen enthält nähere Ausführungen zu diesem für die Daten-

schutzpraxis zunächst voraussichtlich nur selten geforderten Verfahren.

� Der Landesbeauftragte für den Datenschutz erhält als Aufsichtsbehörde für die bayeri-

schen öffentlichen Stellen verstärkte Befugnisse bis hin zur Untersagung einzelner Da-

tenverarbeitungen (Art. 57 und 58 DSGVO). Das bisherige Beanstandungsverfahren wird

beibehalten (Art. 16 Abs. 4 BayDSG).

� Verletzungen des Schutzes personenbezogener Daten (Datenpannen), die voraussicht-

lich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen, sind künf-

tig dem Landesbeauftragten zu melden (Art. 33 DSGVO). Der Landesbeauftragte wird

dafür ein Meldeformular auf seiner Internetseite zur Verfügung stellen. Geht von der Ver-

letzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Perso-

nen aus, sind auch die betroffenen Personen zu benachrichtigen (Art. 34 DSGVO).

� Die Rechte der betroffenen Personen sind von der DSGVO erheblich gestärkt worden.

Dies gilt insbesondere für die Information der betroffenen Person bei einer Datenerhe-

bung (z.B. mittels eines Formulars). Kapitel 6 dieser Arbeitshilfen enthält dazu nähere

Ausführungen und Beispiele für mögliche Formulierungen.

Die DSGVO baut ferner auch Schutzrechte der Betroffenen wie das Recht auf Auskunft

(Art. 15 DSGVO, Art. 10 BayDSG) aus, z.B. durch eine mit ablauforganisatorischen

13

Maßnahmen zu sichernde einmonatige Beantwortungsfrist (Art. 12 Abs. 3 und 4 DSG-

VO).

Das Recht auf Auskunft der betroffenen Person umfasst künftig auch das Recht auf die

Bereitstellung einer kostenlosen Kopie (Art. 15 Abs. 3 DSGVO).

Aufgaben und Stellung des behördlichen Datenschutz beauftragten 2.4.5

Mit Anwendbarkeit der DSGVO und Inkrafttreten des neuen BayDSG am 25. Mai 2018 wer-

den auch die Stellung und die Aufgaben des behördlichen Datenschutzbeauftragten neu

geregelt (Art. 37 bis 39 DSGVO und Art. 12, 24 Abs. 5 BayDSG). Nach Art. 37 Abs. 1

Buchst. a DSGVO hat jede öffentliche Stelle einen Datenschutzbeauftragten zu benennen.

Der behördliche Datenschutzbeauftragte ist auf der Grundlage seiner beruflichen Qualifikati-

on und insbesondere seines datenschutzrechtlichen Fachwissens zu benennen (Art. 37

Abs. 5 DSGVO). Dazu gehören Rechtskenntnisse bezüglich der einschlägigen datenschutz-

rechtlichen Regelungen sowie Grundkenntnisse der eingesetzten IuK-Technik.

Der behördliche Datenschutzbeauftragte ist frühzeitig in alle mit dem Schutz personen-

bezogener Daten zusammenhängenden Fragen einzubinden (Art. 38 Abs. 1 DSGVO). Er

muss Zugang zum Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO erhalten

(Art. 12 Abs. 1 Satz 1 Nr. 1 BayDSG).

Der behördliche Datenschutzbeauftragte ist berechtigt und verpflichtet, der Behördenleitung

unmittelbar zu berichten (Art 38 Abs. 3 Satz 3 DSGVO). Wesentliche Aufgaben des behördli-

chen Datenschutzbeauftragten sind insbesondere

� die Unterrichtung und Beratung des Verantwortlichen über dessen datenschutzrechtliche

Pflichten,

� die Überwachung der Einhaltung datenschutzrechtlicher Vorschriften,

� die Zusammenarbeit mit der Aufsichtsbehörde,

� die Stellungnahme zu einem beabsichtigten Einsatz oder einer wesentlichen Änderung

eines automatisierten Verfahrens, mit dem personenbezogene Daten verarbeitet werden

� die Stellungnahme zu geplanten Videoüberwachungsanlagen und

� die Beratung des Verantwortlichen bei Datenschutz-Folgenabschätzungen

(Art. 39 Abs. 1 DSGVO, Art. 12 Abs. 1 Nr. 2 und Art. 24 Abs. 5 BayDSG).

Die Führung des Verzeichnisses der Verarbeitungstätigkeiten und die Durchführung der

Datenschutz-Folgenabschätzung sind keine gesetzlichen Pflichtaufgaben des behördli-

14

chen Datenschutzbeauftragten – anders als früher die Führung des Verfahrensverzeich-

nisses und das datenschutzrechtliche Freigabeverfahren.

2.5 Wie gehe ich künftig vor, um die richtige Recht sgrundlage für die Lösung einer

datenschutzrechtlichen Frage zu finden?

Soweit der Bundes- und Landesgesetzgeber datenschutzrechtliche Regelungen des Fach-

rechts zeitgerecht zum 25. Mai 2018 der DSGVO anpasst, ist bei datenschutzrechtlichen

Fragen zunächst zu prüfen, ob das Fachrecht eine einschlägige Regelung z.B. zur Zulässig-

keit der Datenverarbeitung enthält. Wenn dies nicht der Fall ist, ist das BayDSG als Auffang-

gesetz heranzuziehen.

In jedem Fall ist zu beachten, dass sowohl das allgemeine als auch das fachspezifische Da-

tenschutzrecht häufig nur ergänzende und konkretisierende Regelungen zu den Vorgaben

der DSGVO trifft. Zur Beurteilung datenschutzrechtlicher Fragestellungen werden somit die

Datenschutz-Grundverordnung und die Regelungen im allgemeinen sowie gegebenenfalls

auch im bereichsspezifischen nationalen Datenschutzrecht (sei es im Landes-, sei es im

Bundesrecht) im Zusammenhang zu lesen und anzuwenden sein.

Das BayDSG 2018 wird in den Überschriften der Vorschriften deutlich machen, auf wel-

che Artikel der DSGVO sie sich beziehen.

Im Anwendungsbereich der Richtlinie zum Datenschutz bei Polizei und Justiz empfiehlt sich,

zu Beginn einen Blick in Art. 28 BayDSG zu werfen, der die umfassende Geltung der DSG-

VO teilweise wieder einschränkt.

2.6 Welche praktischen Anpassungsaufgaben sind vord ringlich?

Zuständigkeiten für die am Datenschutz Beteiligten neu festlegen 2.6.1

Die DSGVO und das BayDSG weisen dem Verantwortlichen, also der öffentlichen Stelle,

neue Aufgaben zu. Es ist festzulegen, wer diese Pflichten des Verantwortlichen nach der

DSGVO und dem BayDSG in der Behörde erfüllt. Davon abzugrenzen sind die Aufgaben

und Befugnisse des behördlichen Datenschutzbeauftragten.

Den Bestand an Verarbeitungen erfassen 2.6.2

Das Verzeichnis der Verarbeitungstätigkeiten ist zentraler Ausgangspunkt für die Erfüllung

der Aufgaben des Verantwortlichen, des behördlichen Datenschutzbeauftragten und der Auf-

sichtsbehörde. Als Ausgangspunkt für die Erstellung dieses Verzeichnisses kann das bisher

geführte Verfahrensverzeichnis verwendet werden. Neu aufzunehmen sind nicht automati-

sierte Verarbeitungstätigkeiten.

15

Aufgaben und Stellung des behördlichen Datenschutz beauftragten festlegen 2.6.3

Die Aufgaben und Stellung des behördlichen Datenschutzbeauftragten nach Art. 37 bis 39

DSGVO und Art. 12 BayDSG unterscheiden sich wesentlich von dessen Aufgaben und der

Stellung nach dem bisherigen Recht.

Bestehende Aufgabenbeschreibungen des behördlichen Datenschutzbeauftragten sind an-

zupassen. Festzulegen ist insbesondere, ob dem Datenschutzbeauftragten nach Art. 38

Abs. 6 DSGVO die Führung des Verzeichnisses der Verarbeitungstätigkeiten und weitere

zusätzliche Aufgaben übertragen werden.

16

3. Maßnahmenplan für den Verantwortlichen zur Umsetzung der DSGVO

Am 25. Mai 2018 wird die DSGVO anzuwenden sein und das neue BayDSG in Kraft treten.

Die folgende Tabelle enthält einen Überblick über die Maßnahmen zur Umsetzung dieser

Rechtsänderungen in bayerischen Behörden und sonstigen öffentlichen Stellen.

Maßnahmen Anmerkungen

1a. Festlegung, wer in der Behörden für

die Umsetzung der DSGVO zuständig ist.

1b. Benennung / Bestellung eines be-

hördlichen Datenschutzbeauftragten

(DSB) und eines Stellvertreters gem. Art.

37 DSGVO und Art. 12 BayDSG

Entfällt, wenn bereits ein behördlicher Da-

tenschutzbeauftragter (DSB) / Stellvertreter

bestellt wurde, die bisherige Bestellung gilt

fort.

- Öffentliche Stellen haben in jedem Fall

einen DSB zu benennen (Art. 37 Abs. 1

Buchst. a DSGVO)

- Dieser muss nicht mehr zwingend ein

Beschäftigter des Verantwortlichen sein

- Für mehrere Verantwortliche ist die Be-

nennung eines gemeinsamen DSB/

Stellvertreters weiterhin möglich

- Auswahl geeigneter Personen

- Bestellung/Benennung dokumentieren,

ggf. zuvor eine Benennung vom Ge-

meinde-/ Stadtrat beschließen lassen

1c. Anpass ung des Aufgabenbereichs

des DSB

Gem. Art. 39 Abs. 1 DSGVO und Art. 12

Abs. 1 BayDSG gemeinsam mit der Behör-

denleitung erstellen bzw. anpassen

17

1d. Erlass einer Geschäftsordnung zum

Datenschutz bzw. Anpassung bestehen-

der Geschäftsordnun-

gen/Dienstanweisungen an die Vorgaben

der DSGVO

Datenschutzrechtliche Zuständigkeiten

müssen konkret einzelnen Organisations-

einheiten oder Personen innerhalb der öf-

fentlichen Stelle zugewiesen und notwendi-

ge Verfahrensabläufe festgelegt werden;

Näheres hierzu im Kapitel 4 dieser Arbeits-

hilfe

2. Erstellen des Verzeichnisses der Ve r-

arbeitungstätigkeiten (VV) gem. Art. 30

DSGVO

- Ausgangspunkt kann das bisherige

Verfahrensverzeichnis für automatisier-

te Verfahren sein

- Neu aufzunehmen sind auch papierge-

bundene Verarbeitungstätigkeiten in

Akten

- Verwendung des neuen Formblatts

Siehe Kapitel 5 dieser Arbeitshilfe

3. Anpassung der Datenschutz hinweise

auf Vordrucken und im Internet (Art. 12,

13, 14 DSGVO)

Siehe Kapitel 7 dieser Arbeitshilfe

4. Veröffentlichung der Kontaktdat en des

DSB und Mitteilung der Kontaktdaten an

den Bayerischen Landesbeauftragten für

Datenschutz

Art. 37 Abs. 7 DSGVO.

Für die Mitteilung an den Landesbeauftrag-

ten wird ein Internetformular bereitstehen.

Anstelle der Verwendung dieses Formulars

kann auch die Eintragung der Kontaktdaten

des behördlichen Datenschutzbeauftragten

bei den Anschrift- und Kontaktdaten der

Behörde im BayernPortal / Behördenweg-

weiser erfolgen.

5. Anpassung von Verträgen über Auf-

tragsverarbeitungen

Bestehende Verträge überprüfen, ob diese

die Vorgaben nach Art. 28 und 29 DSGVO

18

einhalten

Siehe Kapitel 7 dieser Arbeitshilfe.

6. (Normen -) Screening Überprüfung von kommunalen Satzungen

oder Verordnungen sowie von Dienstver-

einbarungen und sonstigen Dienstanwei-

sungen, ob diese mit der DSGVO vereinbar

sind

Bei kommunalen Satzungen und Verord-

nungen dürfte der Anpassungsbedarf gering

sein

7. Anpassung der technischen und org a-

nisatorischen Maßnahmen.

Insbesondere sind Verfahren auf daten-

schutzfreundliche Voreinstellungen zu

überprüfen

Abstimmung der Schnittmengen mit der IT-

Sicherheit

Vermeidung von doppelten Strukturen hin-

sichtlich des „technischen“ Datenschutzes;

bei technisch-organisatorischen Maßnah-

men kann auf ein vorhandenes IT-

Sicherheitskonzept hingewiesen werden

Die von bayerischen öffentlichen Stellen zu

ergreifenden technischen und organisatori-

schen Maßnahmen zur Absicherung von

Verfahren ändern sich durch die DSGVO

nicht zwangsläufig, auch wenn hier teilwei-

se andere Begrifflichkeiten verwendet wer-

den

19

4. Datenschutz-Geschäftsordnung

Die Verantwortung für die Einhaltung datenschutzrechtlicher Vorschriften trägt nach der

DSGVO nicht der behördliche Datenschutzbeauftragte, sondern der „Verantwortliche“ (vgl.

hierzu Einführung unter 2.4.1). Die DSGVO weist dem Verantwortlichen eine Reihe neuer

datenschutzrechtlicher Pflichten und Aufgaben zu, die im bisherigen Datenschutzrecht noch

nicht vorgesehen waren (z.B. Meldung von Datenschutzverletzungen nach Art. 33 DSGVO).

Der Verantwortliche ist auch Adressat der Rechte der betroffenen Personen nach Art. 12 ff.

DSGVO. Er hat nicht nur die Rechtmäßigkeit der von ihm verantworteten Verarbeitungen

personenbezogener Daten zu gewährleisten, sondern muss auch den Nachweis dafür er-

bringen, dass die Datenverarbeitung im Einklang mit den Vorgaben der DSGVO erfolgt (sog.

Rechenschaftspflicht, Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Auch die Richtlinie zum Daten-

schutz bei Polizei und Justiz sieht formelle und organisatorische Pflichten des Verantwortli-

chen vor, die denen der DSGVO weitgehend entsprechen und im BayDSG sowie im Fach-

recht in nationales Recht umgesetzt wurden.

Im öffentlichen Bereich ist der Verantwortliche nicht eine einzelne handelnde Person, son-

dern die für die Datenverarbeitung zuständige öffentliche Stelle, d.h. die Behörde oder sons-

tige öffentliche Stelle, z.B. die Gemeinde oder das Landratsamt (Art. 4 Nr. 7 DSGVO, Art. 3

Abs. 2 BayDSG). Der Leitung der jeweiligen öffentlichen Stelle obliegt es insbesondere, ein

Datenschutzkonzept aufzustellen, mit dem sichergestellt wird, dass im Zuständigkeitsbereich

der öffentlichen Stelle die datenschutzrechtlichen Pflichten erfüllt und datenschutzrechtliche

Bestimmungen eingehalten werden (Art. 24 Abs. 2 DSGVO). Dies setzt voraus, dass daten-

schutzrechtliche Zuständigkeiten konkret einzelnen Organisationseinheiten oder Personen

innerhalb der öffentliche Stelle zugewiesen und notwendige Verfahrensabläufe festgelegt

werden.

Mit anderen Worten: Die Leitung der jeweiligen öffentlichen Stelle muss dafür Vorsorge

treffen, dass innerhalb ihres Zuständigkeitsbereichs eine datenschutzrechtliche Aufbau-

und Ablauforganisation zur Verfügung steht, welche die Einhaltung der Vorgaben der EU-

Datenschutzreform gewährleistet.

Die Dokumentation des Datenschutzkonzepts dient auch der Erfüllung der Rechenschafts-

pflicht.

20

Die Mindestaufgaben des behördlichen Datenschutzbeauftragten sind in Art. 39 Abs. 1

DSGVO, Art. 12 und Art. 24 Abs. 5 BayDSG gesetzlich festgelegt. Darüber hinaus können

auf den behördlichen Datenschutzbeauftragten einzelne Aufgaben und Pflichten des Ver-

antwortlichen übertragen werden, sofern dies nicht zu einem Interessenkonflikt bei der

Wahrnehmung seiner übrigen Kernaufgaben führt (Art. 38 Abs. 6 DSGVO).

Das nachfolgende Muster einer Datenschutz-Geschäftsordnung enthält Vorschläge, wie

innerhalb einer öffentlichen Stelle datenschutzrechtliche Zuständigkeiten verteilt und ver-

fahrensrechtliche Abläufe geregelt werden können. Das Muster ist für mittlere und große

staatliche Verwaltungsbehörden konzipiert. Es kann eine Hilfestellung für eigenverant-

wortlich zu treffende Regelungen der Gemeinden, Landkreise, Bezirke und sonstigen öf-

fentlichen Stellen sein. Abhängig von Größe und Struktur der einzelnen öffentlichen Stel-

len kann sich auch eine andere Zuständigkeitsverteilung oder die Festsetzung abwei-

chender Verfahrensabläufe als sinnvoll erweisen.

Hinweis: Die Regelungen der DSGVO finden grundsätzlich auch bei Datenverarbeitungen im

Anwendungsbereich der Richtlinie zum Datenschutz bei Polizei und Justiz entsprechende

Anwendung (vgl. Art. 2 Satz 1 i.V.m. Art. 28 ff. BayDSG). Die im nachfolgenden Muster dar-

gestellten Zuständigkeits- und Verfahrensregelungen, die Pflichten des Verantwortlichen

nach der DSGVO betreffen, können deshalb auch bei Datenverarbeitungen zum Zwecke der

Verfolgung und Ahndung von Straftaten und Ordnungswidrigkeiten herangezogen werden

(Art. 28 Abs. 1 Satz 1, 2 BayDSG). Aus dem 8. Kapitel des BayDSG sowie aus dem jeweili-

gen Fachrecht können sich jedoch Abweichungen, Modifikationen oder Ergänzungen (z.B.

zusätzliche Angaben, die in das Verarbeitungsverzeichnis nach Art. 30 DSGVO aufgenom-

men werden müssen, vgl. Art. 31 BayDSG) ergeben, die bei der Anwendung der einzelnen

Regelungen der DSGVO zu beachten sind. Mit § 4 Buchst. c, § 12 Abs. 3 Satz 5 sowie § 14

enthält die Geschäftsordnung Regelungen, die nur bei Verarbeitungen im Anwendungsbe-

reich des Art. 28 BayDSG zu beachten sind. Zur besseren Lesbarkeit des Musters nimmt die

Geschäftsordnung ansonsten nur auf die Vorschriften der DSGVO Bezug. Auf Modifikationen

zu einzelnen Regelungen der DSGVO für Datenverarbeitungen im Anwendungsbereich des

Art. 28 BayDSG wird in den Erläuterungen hingewiesen.

21

4.1 Muster einer Datenschutz-Geschäftsordnung

Datenschutz-Geschäftsordnung2 der … (Behörde)

…. vom….3

Inhaltsverzeichnis :

Erster Teil: Allgemeine Regelungen

§ 1 Geltungsbereich

Zweiter Teil: Datenschutzrechtliche Zuständigkeiten

§ 2 Behördenleitung

§ 3 Organisationssachgebiet

§ 4 IT-Sachgebiet

§ 5 Fachsachgebiete

§ 6 Behördlicher Datenschutzbeauftragter

Dritter Teil: Zusammenarbeit

§ 7 Zusammenarbeit und gegenseitige Information

Vierter Teil: Datenschutzrechtliche Ablauforganisat ion

Abschnitt 1: Allgemeine Grundsätze zur Gewährleistu ng des Datenschutzes

§ 8 Information der Beschäftigten

§ 9 Beteiligung des behördlichen Datenschutzbeauftragten

§ 10 Datenschutzbericht

§ 11 Gewährleistung der Richtigkeit und Vollständigkeit des Verarbeitungsverzeichnisses

2 Im kommunalen Bereich kann sich die Bezeichnung als „Dienstanweisung“ anbieten. 3 Zur besseren Lesbarkeit der Geschäftsordnung wurde vom Gebrauch von Paarformen (vgl. Nr. 2.4.4.1 Organisationsrichtlinien) Abstand genommen.

22

Abschnitt 2: Gewährleistung besonderer datenschutzr echtlicher Verpflichtungen

§ 12 Verfahren bei Datenschutzverletzungen nach Art. 33 und Art. 34 DSGVO

§ 13 Auftragsverarbeitung

§ 14 Vertrauliche Meldung von Datenschutzverstößen nach Art. 36 BayDSG

Fünfter Teil: Schlussvorschriften

§ 15 Inkrafttreten

3 Anlagen

23


§ 1 Geltungsbereich

Die Geschäftsordnung gilt für die Verarbeitung personenbezogener Daten durch alle Or-

ganisationseinheiten/Dienststellen der <Behörde/Kommune>.


§ 2 Behördenleitung 4

(1) Die Behördenleitung stellt mit Unterstützung der nachfolgend genannten Organisati-

onseinheiten sicher, dass die Verarbeitung personenbezogener Daten im Einklang

mit den datenschutzrechtlichen Bestimmungen erfolgt.

(2) 1Die Behördenleitung benennt einen behördlichen Datenschutzbeauftragten und des-

sen Vertretung, soweit gesetzlich oder in dieser Geschäftsordnung nichts anderes

bestimmt ist. 2Für die Benennung ist die als Anlage 1 beigefügte Urkunde zu verwen-

den.

§ 3 Organisationssachgebiet 5

(1) 1Das Organisationssachgebiet erarbeitet im Benehmen mit dem behördlichen Daten-

schutzbeauftragten und dem IT-Sachgebiet geeignete Datenschutzvorkehrungen

nach Art. 24 Abs. 2 DSGVO. 2Hierzu gehören insbesondere Datenschutz-Richtlinien

und fachverfahrensspezifische Anweisungen an die Beschäftigten.

(2) Soweit nichts anderes bestimmt6 ist, führt das Organisationssachgebiet das Verarbei-

tungsverzeichnis nach Art. 30 DSGVO.

4 Im gemeindlichen Bereich z.B. der erste Bürgermeister / Oberbürgermeister. 5 Ggf. konkretisieren. 6 Vgl. § 6 dieser Geschäftsordnung.

24

§ 4 IT-Sachgebiet 7

Das IT-Sachgebiet legt in Abstimmung mit den nach §§ 3 und 5 zuständigen Organi-

sationseinheiten

a. geeignete technische Maßnahmen zum Schutz der zu verarbeitenden Daten

nach Art. 24 Abs. 1, Art. 25 und Art. 32 DSGVO,

b. angemessene und spezifische Maßnahmen zum Schutz besonderer Kategorien

personenbezogener Daten nach Art. 8 Abs. 2 BayDSG,

c. ggf. geeignete Maßnahmen nach Art. 32 Abs. 2 BayDSG8

fest.

§ 5 Fachsachgebiete 9

(1) Die Fachsachgebiete tragen für ihren Zuständigkeitsbereich die Verantwortung für die

Beachtung der jeweils maßgeblichen datenschutzrechtlichen Vorschriften.

(2) Im Benehmen mit dem behördlichen Datenschutzbeauftragten stellen die Fachsach-

gebiete für ihren Zuständigkeitsbereich sicher, dass die Rechte der betroffenen Per-

sonen nach Art. 12, Art. 15 bis Art. 22 DSGVO sowie die Informationspflichten nach

Art. 13 und Art. 14 DSGVO erfüllt werden.

(3) 1Die Personalvertretung gilt als Fachsachgebiet. 2Der besonderen Stellung der Per-

sonalvertretung ist Rechnung zu tragen.

§ 6 Behördlicher Datenschutzbeauftragter 10,11

Ergänzend zu den durch Art. 39 Abs. 1 DSGVO sowie Art. 12 und 24 Abs. 5 BayDSG

zugewiesenen Aufgaben nach Anlage 2 werden dem behördlichen Datenschutzbe-

auftragten die nachfolgenden Aufgaben übertragen12:

7 Ggf. konkretisieren. Mit „IT-Sachgebiet“ wird die für IT verantwortliche Organisationseinheit be-zeichnet. 8 Entfällt, soweit die öffentliche Stelle nicht dem Anwendungsbereich des Art. 28 BayDSG 2018 unter-liegt. 9 Ggf. anpassen z.B. „Fachreferat“. 10 Zur eingeschränkten Zuständigkeit des behördlichen Datenschutzbeauftragten in Gerichten vgl. Art. 37 Abs. 1 Buchstabe a DSGVO. 11 Zur Gewährleistung der Erreichbarkeit des behördlichen Datenschutzbeauftragten wird empfohlen, ihm ein Funktionspostfach einzurichten z.B. datenschutzbeauftragter@behörde.de

25

☐ Führung des Verarbeitungsverzeichnisses nach Art. 30 DSGVO

☐ Koordinierung der Erfüllung der Rechte der betroffenen Personen nach Art.

12, Art. 15 bis 22 DSGVO durch das jeweilige Fachsachgebiet einschließlich

Beteiligung bei deren abschließenden Entscheidungen über Betroffenen-

rechte

☐ Begleitung der Durchführung der Datenschutz-Folgenabschätzung nach

Art. 35 f. DSGVO

☐ Schulungen von Beschäftigten

☐ Umsetzung der Meldung bzw. Benachrichtigung bei Datenschutzverletzun-

gen nach Art. 33 und Art. 34 DSGVO

☐ ________________________________________________


§ 7 Zusammenarbeit und gegenseitige Information

(1) 1Das Organisationssachgebiet, das IT-Sachgebiet und der behördliche Datenschutz-

beauftragte arbeiten zur Gewährleistung des Datenschutzes vertrauensvoll zusam-

men und informieren sich gegenseitig. 2Hierzu schaffen sie geeignete Verfahren der

kontinuierlichen Zusammenarbeit. 3Sie unterrichten die Behördenleitung über alle we-

sentlichen Vorgänge.

(2) 1Jeder Beschäftigte meldet seinem jeweiligen Vorgesetzen unverzüglich Verstöße

gegen datenschutzrechtliche Bestimmungen. 2Die Fachsachgebiete informieren den

behördlichen Datenschutzbeauftragten über den Verstoß.

12 Die Übertragung zusätzlicher Aufgaben muss mit der in der DSGVO enthaltenen Rollenbeschrei-bung des Datenschutzbeauftragten vereinbar sein; insbesondere darf die Aufgabenübertragung nicht zu einem Interessenkonflikt führen, vgl. Erläuterungen zu § 6.

26

Vierter Teil: Ablauforganisation

Abschnitt 1: Allgemeine Grundsätze zur Gewährleistu ng des Datenschutzes

§ 8 Information der Beschäftigten

Die Beschäftigten sind durch Richtlinien zum Datenschutz und auf sonstige Art und

Weise für den Umgang mit personenbezogenen Daten zu sensibilisieren.

§ 9 Beteiligung des behördlichen Datenschutzbeauftr agten

(1) Der behördliche Datenschutzbeauftragte wird frühzeitig in alle wesentlichen Da-

tenschutzfragen eingebunden und vom Organisationssachgebiet, dem IT-

Sachgebiet, den Fachsachgebieten und den Beschäftigten bei der Erfüllung sei-

ner Aufgaben unterstützt.

(2) Ihm ist vor dem erstmaligen Einsatz oder einer wesentlichen Änderung eines au-

tomatisierten Verfahrens, mit dem personenbezogene Daten verarbeitet werden,

Gelegenheit zur Stellungnahme zu geben.

(3) 1Vor dem Einsatz einer Videoüberwachung sind dem behördlichen Datenschutz-

beauftragten der Zweck, die räumliche Ausdehnung und die Dauer der Video-

überwachung, der betroffene Personenkreis, die Maßnahmen nach Art. 24 Abs. 2

BayDSG und die vorgesehenen Auswertungen mitzuteilen. 2Ihm ist Gelegenheit

zur Stellungnahme zu geben.

(4) Der behördliche Datenschutzbeauftragte ist im Vorfeld von Vergabeverfahren und

neuer Fachverfahren sowie vor der Beschaffung von IT-Hard- und Software zu

beteiligen, wenn datenschutzrechtlich bedeutsame Anschaffungen geplant wer-

den.

27

§ 10 Datenschutzbericht 13

1Der behördliche Datenschutzbeauftragte erstellt regelmäßig, mindestens alle zwei

Jahre, einen Bericht zum Datenschutz. 2In diesem sind die in der Behörde/Kommune

zur Gewährleistung des Datenschutzes eingesetzten technischen und organisatori-

schen Maßnahmen darzustellen sowie ggf. festgestellte Datenschutzverstöße und

Schutzlücken aufzuführen. 3Der Bericht enthält eine Bewertung, ob die eingesetzten

technischen und organisatorischen Maßnahmen ausreichend sind, dem Stand der

Technik entsprechen und in welchem Umfang datenschutzrechtliche Risiken beste-

hen. 4Die Ergebnisse des Berichts werden mit der Behördenleitung und den zustän-

digen Organisationseinheiten erörtert und Verbesserungsmöglichkeiten geprüft. 5Der

Bericht wird nicht veröffentlicht.

§ 11 Gewährleistung der Richtigkeit und Vollständig keit des Verarbeitungsverzeich-

nisses

(1) Die Fachsachgebiete melden der für die Führung des Verarbeitungsverzeichnisses

zuständigen Organisationseinheit14 unaufgefordert die neu aufgenommenen Verar-

beitungstätigkeiten sowie wesentliche Änderungen bereits gemeldeter Verarbeitungs-

tätigkeiten.

(2) Für diese Meldung ist das als Anlage 3 beigefügte Formblatt zu verwenden.

(3) 1Die für die Führung des Verarbeitungsverzeichnisses zuständige Organisationsein-

heit15 übersendet den Fachsachgebieten jährlich eine Liste der von diesen gemelde-

ten Verarbeitungstätigkeiten. 2Die Fachsachgebiete prüfen die Liste auf Richtigkeit

und Vollständigkeit, aktualisieren sie und leiten sie der für die Führung des Verarbei-

tungsverzeichnisses zuständigen Organisationseinheit16 zu.

13 Die Erstellung eines Datenschutzberichts ist eine von mehreren Möglichkeiten, um die Erfüllung der Pflichten des Verantwortlichen nach Art. 24 Abs. 1 Satz 2 DSGVO sowie des behördlichen Daten-schutzbeauftragten nach Art. 38 Abs. 3 Satz 3, Art. 39 Abs. 1 Buchst. b DSGVO verfahrensrechtlich abzusichern. Anstelle eines schriftlichen Berichts kann auch ein anderes geeignetes Verfahren zur regelmäßigen Beurteilung des Datenschutzes vorgesehen werden, das die Einhaltung der oben ge-nannten Pflichten sicherstellt. 14 Ggf. konkretisieren: hierbei kann es sich z.B. um das Organisationssachgebiet (vgl. § 4 Abs. 2) oder bei einer Aufgabenübertragung nach § 6 um den behördlichen Datenschutzbeauftragten handeln. 15 Siehe Fußnote 13. 16 Siehe Fußnote 13.

28

Abschnitt 2: Gewährleistung besonderer datenschutzr echtlicher Verpflichtungen

§ 12 Verfahren bei Datenschutzverletzungen nach Art . 33 und Art. 34 DSGVO

(1) 1Im Fall einer Verletzung des Schutzes personenbezogener Daten im Sinne von Art.

4 Nr. 12 DSGVO informiert die jeweilige Organisationseinheit, der die Datenschutz-

verletzung bekannt geworden ist, unverzüglich den behördlichen Datenschutzbeauf-

tragten hierüber.

(2) 1Soweit dem Organisationssachgebiet und dem IT-Sachgebiet der Verstoß noch nicht

bekannt ist, unterrichtet der behördliche Datenschutzbeauftragte diese. 2Er teilt ihnen

dabei seine Einschätzung mit, ob eine Meldepflicht nach Art. 33 DSGVO oder eine

Benachrichtigungspflicht nach Art. 34 DSGVO besteht. 3Die Einschätzung ist schrift-

lich zu begründen.

(3) 1Die für die Umsetzung der Meldung zuständige Organisationseinheit17 meldet im

Einvernehmen mit dem Organisationssachgebiet und dem IT-Sachgebiet die Verlet-

zung des Schutzes personenbezogener Daten unverzüglich dem Bayerischen Lan-

desbeauftragten für den Datenschutz mit dem nach Art. 33 DSGVO vorgegebenen

Mindestinhalt, möglichst innerhalb einer Frist von 72 Stunden. 2Ist eine Meldung in-

nerhalb von 72 Stunden nicht möglich, sind die Gründe hierfür zu dokumentieren und

die Meldung unverzüglich nachzuholen. 3Die Meldung unterbleibt, wenn das Organi-

sationssachgebiet und das IT-Sachgebiet unter Berücksichtigung der Einschätzung

des behördlichen Datenschutzbeauftragten nach Abs. 2 der Auffassung sind, dass

die Voraussetzungen des Art. 33 DSGVO nicht vorliegen. 4Die Gründe hierfür sind zu

dokumentieren. 5Wenn Daten von oder an den Verantwortlichen eines anderen Mit-

gliedstaates übermittelt wurden, sind im Anwendungsbereich der Art. 28 bis 37

BayDSG die Informationen nach Art. 33 Abs. 3 DSGVO unverzüglich auch an diesen

zu melden.

(4) 1Das Organisationssachgebiet und das IT-Sachgebiet entscheiden auf der Grundlage

der Einschätzung des behördlichen Datenschutzbeauftragten nach Abs. 2, ob eine

17 Ggf. konkretisieren: Die Meldung erfolgt z.B. durch den behördlichen Datenschutzbeauftragten, wenn ihm diese Aufgabe gemäß § 6 übertragen worden ist. Ist dies nicht der Fall und wurde diese Aufgabe auch keiner anderen Organisationseinheit (z.B. IT-Sachgebiet, Organisationssachgebiet) zugewiesen, verbleibt es bei der Verantwortlichkeit des zuständigen Fachsachgebiets nach § 5 Abs. 1.

29

Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko

für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat und

somit eine Benachrichtigungspflicht nach Art. 34 DSGVO besteht. 2Die Benachrichti-

gung der betroffenen Person erfolgt unverzüglich durch die für die Umsetzung der

Benachrichtigung zuständige Organisationseinheit18. 3Unterbleibt eine Benachrichti-

gung nach Art. 34 DSGVO, sind die Gründe hierfür zu dokumentieren.

(5) Nach Bekanntwerden des Verstoßes leiten das Organisationssachgebiet und das IT-

Sachgebiet in Abstimmung mit dem behördlichen Datenschutzbeauftragten unverzüg-

lich Abhilfemaßnahme ein.

§ 13 Auftragsverarbeitung

1Das Organisationssachgebiet prüft vor Abschluss eines Vertrages über die Auf-

tragsverarbeitung, ob der Auftragsverarbeiter hinreichend Garantien dafür bietet, dass

geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass

die Verarbeitung im Einklang mit den Anforderungen der DSGVO und den zu ihrer Er-

gänzung erlassenen europäischen, bundes- und landesrechtlichen Regelungen erfolgt

und der Schutz der Rechte der betroffenen Person gewährleistet wird. 2Hierzu lässt sich

das Organisationssachgebiet entsprechende Nachweise/Zertifikate vorlegen und holt die

Stellungnahme des behördlichen Datenschutzbeauftragten sowie des IT-Sachgebiets

ein.

§ 14 Vertrauliche Meldung von Datenschutzverstößen nach Art. 36 BayDSG 19

1Erlangt ein Mitarbeiter von einem Datenschutzverstoß Kenntnis, kann er sich jederzeit

unmittelbar an den behördlichen Datenschutzbeauftragten wenden. 2Der behördliche

Datenschutzbeauftragte behandelt die Meldung vertraulich. 3Er darf Tatsachen, die ihm

18 Ggf. konkretisieren: Die Benachrichtigung erfolgt z.B. durch den behördlichen Datenschutzbeauf-tragten, wenn ihm diese Aufgabe gemäß § 6 übertragen worden ist. Ist dies nicht der Fall und wurde diese Aufgabe auch keiner anderen Organisationseinheit (z.B. IT-Sachgebiet, Organisationssachge-biet) zugewiesen, verbleibt es bei der Verantwortlichkeit des zuständigen Fachsachgebiets nach § 5 Abs. 1. 19 Entfällt, soweit die öffentliche Stelle nicht dem Anwendungsbereich der Art. 28 bis 37 BayDSG 2018 unterliegt.

30

in Ausübung seiner Funktion anvertraut wurden, und die Identität der mitteilenden Per-

son nicht ohne dessen Einverständnis offenbaren.

§ 15 Inkrafttreten

Diese Geschäftsordnung tritt am 25. Mai 2018 in Kraft.

31

4.2 Erläuterungen zur Datenschutz-Geschäftsordnung


Zu § 1 (Geltungsbereich)

§ 1 bestimmt den Adressatenkreis, an den sich die Datenschutz-Geschäftsordnung richtet.


Der zweite Teil enthält aufbauorganisatorische Regelungen und legt konkret fest, welche

Organisationseinheit innerhalb der öffentlichen Stelle für die Wahrnehmung bestimmter da-

tenschutzrechtlicher Pflichten zuständig ist. Fehlt eine Zuständigkeitszuweisung an eine kon-

krete Organisationseinheit, sieht das vorliegende Muster eine allgemeine Zuständigkeit der

jeweiligen Fachsachgebiete vor (siehe § 5).

Zu § 2 (Behördenleitung)

Zu Abs. 1: Die Leitung der öffentlichen Stelle hat zu gewährleisten, dass innerhalb ihres Zu-

ständigkeitsbereichs die datenschutzrechtlichen Bestimmungen eingehalten werden.

Zu den maßgeblichen datenschutzrechtlichen Bestimmungen, die bei der Verarbeitung per-

sonenbezogener Daten zu beachten sind, gehören in erster Linie die Regelungen der DSG-

VO sowie die sie ergänzenden bundes- oder landesrechtlichen Datenschutzregelungen. Da-

neben unterfallen Verwaltungsbehörden, die in der Regel auch personenbezogene Daten zu

Zwecken der Verfolgung und Ahndung von Straftaten und Ordnungswidrigkeiten verarbeiten,

insoweit auch dem Anwendungsbereich der Richtlinie zum Datenschutz bei Polizei und Jus-

tiz und haben die zur Umsetzung der Richtlinie erlassenen Datenschutzregelungen im Bun-

des- und Landesrecht zu beachten (vgl. Art. 28 Abs. 1 Satz 2 BayDSG).

Die Behördenleitung hat zum einen sicherzustellen, dass alle Verarbeitungen der öffentli-

chen Stelle im Einklang mit den materiell-rechtlichen Anforderungen dieser Vorschriften ste-

hen, zum anderen, dass die mit der EU-Datenschutzreform einhergehenden neuen Verfah-

renspflichten in der öffentlichen Stelle umgesetzt werden. Diese Aufgabe kann die Behörden-

leitung nur erfüllen, wenn sie hierbei von verschiedenen Organisationseinheiten innerhalb

der öffentlichen Stelle unterstützt wird. Jedes Fachsachgebiet hat in seinem Zuständigkeits-

bereich die Vorschriften des Datenschutzes umzusetzen. Bei der Umsetzung organisatori-

scher und technischer Datenschutzmaßnahmen sind insbesondere das für die innerbehördli-

che Organisation zuständigen Sachgebiet sowie das für IT verantwortliche Sachgebiet ge-

32

fordert. Darüber hinaus ist die Behördenleitung auf die Unterstützung des behördlichen Da-

tenschutzbeauftragten angewiesen, zu dessen Aufgaben u.a. die Unterrichtung und Bera-

tung des Verantwortlichen im Hinblick auf datenschutzrechtliche Regelungen gehört (vgl. Art.

39 Abs. 1 Buchst. a DSGVO). Dem behördlichen Datenschutzbeauftragten können vom Be-

hördenleiter einzelne Aufgaben und Pflichten des Verantwortlichen zur Durchführung über-

tragen werden, allerdings nur, soweit dies mit dem in der Datenschutz-Grundverordnung

vorgesehenen Rollenbild des Datenschutzbeauftragten vereinbar ist und auch nicht zu einem

Interessenkonflikt bei der Wahrnehmung seiner übrigen Datenschutz-Kernaufgaben führt

(Art. 38 Abs. 6 DSGVO).

Unterstützung im Sinne des § 2 bedeutet, dass die genannten Organisationseinheiten in ih-

rem Zuständigkeitsbereich der Behördenleitung zuarbeiten und für diese datenschutzrechtli-

che Pflichten wahrnehmen. Die Weisungs- und Entscheidungshoheit verbleibt dabei bei der

Behördenleitung.

Zu Abs. 2: Die Benennung des behördlichen Datenschutzbeauftragten gehört in der Regel zu

den Aufgaben der Behördenleitung. Ein Muster für die Bestellungsurkunde findet sich in An-

lage 1 der Geschäftsordnung.

Zu § 3 (Organisationssachgebiet)

Zu Abs. 1: Das Organisationssachgebiet ist in einer öffentlichen Stelle für die Leitung aller

innerorganisatorischen Angelegenheiten zuständig und schlägt der Leitung der öffentlichen

Stelle Organisationsverfügungen vor.

Datenschutzrechtliche Aufgaben des Verantwortlichen, die im Zusammenhang mit inneror-

ganisatorischen Fragestellungen stehen, sollten auf das Organisationssachgebiet übertragen

werden. Hierzu gehört die in Art. 24 Abs. 2 DSGVO genannte Aufgabe des Verantwortlichen,

geeignete Datenschutzvorkehrungen vorzusehen. Unter diesem Begriff sind insbesondere

fachverfahrensspezifische Anweisungen an die Beschäftigten sowie interne oder externe

Datenschutz-Richtlinien mit konkreten Handlungsanweisungen zum Umgang mit personen-

bezogenen Daten zu verstehen. Aufgabe des Organisationssachgebiets ist es entsprechen-

de organisatorischen Maßnahmen im Benehmen mit dem behördlichen Datenschutzbeauf-

tragten und dem IT- Sachgebiet zu erarbeiten und der Behördenleitung vorzuschlagen.

33

Zu Abs. 2: Je nach Größe und Struktur der Behörde kann es sich empfehlen, weitere Aufga-

ben auf das Organisationssachgebiet zu übertragen wie beispielsweise die Führung des

Verarbeitungsverzeichnisses nach Art. 30 DSGVO. Bei Datenverarbeitungen im Anwen-

dungsbereich des Art. 28 BayDSG sind nach Art. 31 BayDSG ergänzende Angaben im Ver-

arbeitungsverzeichnis anzugeben. Die Führung des Verarbeitungsverzeichnisses bedeutet in

diesem Zusammenhang die reine Verwaltung des Verarbeitungsverzeichnisses, nicht die

Erstellung der einzelnen Beschreibungen der Verarbeitungstätigkeiten (vgl. zur Übertra-

gungsmöglichkeit auf den behördlichen Datenschutzbeauftragten § 6).

Zu § 4 (IT-Sachgebiet)

Aufgaben des Verantwortlichen im Zusammenhang mit der Gewährleistung der Sicherheit

einschließlich der Vertraulichkeit, Verfügbarkeit und Integrität der Daten sollten innerhalb

einer Behörde auf das IT-Sachgebiet übertragen werden. Hierzu gehört insbesondere die

Einrichtung geeigneter technischer Maßnahmen zur Gewährleistung der Sicherheit der Da-

tenverarbeitung sowie die Pflicht, Technik datenschutzfreundlich einzusetzen und Voreinstel-

lungen so zu wählen, dass nur die für den konkreten Zweck erforderlichen Daten verarbeitet

werden (Art. 24 Abs. 1, Art. 25 und Art. 32 DSGVO). Besondere Kategorien personenbezo-

gener Daten sind als sensible Daten durch angemessene und spezifische Maßnahmen zu

schützen (Art. 8 Abs. 2 BayDSG). Bei Verarbeitungen im Anwendungsbereich der Art. 28 bis

37 BayDSG müssen im Fall von automatisierten Datenverarbeitungen besondere Schutz-

maßnahmen nach Art. 32 Abs. 2 BayDSG getroffen werden, Art. 32 Abs. 3 und 4 DSGVO

sind nicht anwendbar, vgl. Art. 32 Abs. 1 BayDSG 2018. Beabsichtigte Maßnahmen müssen

vor ihrem Erlass mit dem Organisationssachgebiet und den jeweils betroffenen Fachsachge-

bieten bzw. der Behördenleitung abgestimmt werden.

Das nach dem Bayerischen E-Government-Gesetz zu erstellende Informationssicherheits-

konzept kann in diesem Zusammenhang wichtige Grundlagen und Anhaltspunkte liefern.

Zu § 5 (Fachsachgebiete)

Zu Abs. 1: Die Fachsachgebiete sind innerhalb ihres Fachbereichs dafür verantwortlich, dass

personenbezogene Daten im Einklang mit datenschutzrechtlichen Vorgaben verarbeitet wer-

den. Findet sich in der Geschäftsordnung keine ausdrückliche Zuständigkeitszuweisung an

eine andere Organisationseinheit, sind die jeweiligen Fachsachgebiete für die Wahrnehmung

der datenschutzrechtlichen Aufgabe zuständig.

34

Zu Abs. 2: Darüber hinaus liegt die Zuständigkeit für die Erfüllung der Rechte der betroffenen

Personen nach Art. 15 bis Art. 22 DSGVO bei den Fachsachgebieten. Die Fachsachgebiete

müssen im ihrem Fachbereich dafür Sorge tragen, dass Anträge der betroffenen Personen

zügig bearbeitet und hierüber rechtzeitig innerhalb der europarechtlich vorgegebenen Fristen

nach Art. 12 Abs. 3 DSGVO entschieden wird. Der behördliche Datenschutzbeauftragte ist

vor der abschließenden Entscheidung über die Betroffenenrechte in aller Regel zu beteiligen.

Bei Datenverarbeitungen im Anwendungsbereich des Art. 28 BayDSG sind die Rechte der

betroffenen Personen im jeweiligen Fachrecht geregelt.

Zu Abs. 3: Als Teil der öffentlichen Stelle unterliegt auch der Personalrat grundsätzlich da-

tenschutzrechtlichen Anforderungen und sollte deshalb wie ein Fachsachgebiet behandelt

werden. Hierbei ist jedoch die besondere Stellung des Personalrats zu berücksichtigen. Es

empfiehlt sich, die Regelung jeweils im Vorfeld der Verabschiedung der Geschäftsordnung

mit der zuständigen Personalvertretung im Wege der vertrauensvollen Zusammenarbeit ab-

zustimmen.

Zu § 6 (Behördlicher Datenschutzbeauftragter)

Dem behördlichen Datenschutzbeauftragten werden in DSGVO und im BayDSG eine Reihe

von Aufgaben zugewiesen. Diese Mindestaufgaben sind in der als Anlage 2 beigefügten

Übersicht aufgeführt und mit konkretisierenden Beispielen versehen. Hinzu können ferner

fachgesetzlich geregelte Aufgaben kommen.

Bei Gerichten erstreckt sich die Zuständigkeit des behördlichen Datenschutzbeauftragten

nicht auf Verarbeitungen im Rahmen ihrer justiziellen Tätigkeit (Art. 37 Abs. 1 Buchstabe a

DSGVO).

Neben den gesetzlich zugewiesenen Aufgaben können auf den behördlichen Datenschutz-

beauftragten weitere Aufgaben übertragen werden. Von einer Übertragung ist abzusehen,

wenn diese nicht mit der in der DSGVO enthaltenen Rollenbeschreibung des Datenschutz-

beauftragten vereinbar ist; insbesondere darf die Aufgabenübertragung nicht zu einem Inte-

ressenkonflikt führen (Art. 38 Abs. 6 DSGVO).

Neben der Übertragung von Koordinationsaufgaben bei der Erfüllung der Rechte der be-

troffenen Personen und der Begleitung der Durchführung einer Datenschutz-

Folgenabschätzung, dem Abhalten von Schulungen sowie Umsetzung von Meldungen und

35

Benachrichtigungen nach Art. 33 f. DSGVO kommt insbesondere die Übertragung der Füh-

rung des Verarbeitungsverzeichnisses nach Art. 30 DSGVO auf den behördlichen Daten-

schutzbeauftragten in Betracht. Die Führung des Verarbeitungsverzeichnisses bedeutet in

diesem Zusammenhang die reine Verwaltung des Verarbeitungsverzeichnisses. Für die Er-

stellung der einzelnen Beschreibungen der Verarbeitungstätigkeiten sowie für die Richtigkeit,

Vollständigkeit und Aktualität des Verarbeitungsverzeichnisses bleiben die Behördenleitung,

das Organisationssachgebiet bzw. die Fachsachgebiete zuständig.

Im Anwendungsbereich des Art. 28 BayDSG sind die Rechte der betroffenen Person im

Fachrecht geregelt. Die Regelungen nach Art. 30 und Art. 33 DSGVO werden ergänzt durch

die Bestimmungen in Art. 31 und Art. 33 BayDSG.


Zu § 7 (Zusammenarbeit und gegenseitige Information )

§ 7 Abs. 1 dient der Sicherstellung des gegenseitigen Austausches und Informationsflusses

zwischen dem Organisationssachgebiet, dem IT-Sachgebiet und dem behördlichen Daten-

schutzbeauftragten. Als geeignetes Verfahren der Zusammenarbeit kommt beispielsweise

die Einrichtung eines Jour Fixe in Betracht.

Zugleich wird mit der Regelung die Unterrichtung der Behördenleitung von wesentlichen da-

tenschutzrechtlich relevanten Vorgängen gewährleistet.

Abs. 2 stellt zudem den Informationsfluss sicher für den Fall, dass einem Beschäftigten ein

Datenschutzverstoß bekannt wird. Handelt es sich bei dem Verstoß um eine Datenschutz-

verletzung im Sinne von Art. 4 Nr. 12 DSGVO, regelt § 12 das weitere Verfahren.

Vierter Teil: Datenschutzrechtliche Ablauforganisat ion

36

Der vierte Teil enthält ablauforganisatorische Regelungen, die die Einhaltung datenschutz-

rechtlicher Vorschriften in verfahrensrechtlicher Hinsicht absichern sollen. §§ 8 bis 11 enthal-

ten allgemeine Verfahrensregelungen, §§ 12 ff. regeln besondere Verfahrensbestimmungen

zur Gewährleistung besonderer datenschutzrechtlicher Pflichten, die durch die DSGVO neu

begründet oder modifiziert wurden.

Zu § 8 (Information der Beschäftigten)

Die Beschäftigten sollten für den Umgang mit personenbezogenen Daten sensibilisiert wer-

den. Dies kann beispielsweise über Richtlinien zum Datenschutz erfolgen, die konkrete

Handlungsanweisungen zum Umgang mit personenbezogenen Daten vorsehen oder durch

Informationsmaterial zum Datenschutz etc.

Zu § 9 (Beteiligung des behördlichen Datenschutzbea uftragten)

§ 9 gewährleistet die frühzeitige Einbindung des behördlichen Datenschutzbeauftragten bei

allen wesentlichen datenschutzrechtlich relevanten Verfahrensabläufen (vgl. Art. 38 Abs. 1

DSGVO). Insbesondere wenn in der Behörde grundsätzliche oder schwierige datenschutz-

rechtliche Fragestellungen auftreten, ist der behördliche Datenschutzbeauftragte hierüber zu

informieren und es ist ihm Gelegenheit zur Stellungnahme einzuräumen sowie ggf. die Teil-

nahme an Besprechungen zu ermöglichen. Vorlagen, die grundsätzliche oder schwierige

datenschutzrechtliche Fragestellungen behandeln, sind ihm gleichfalls mit der Gelegenheit

zur Stellungnahme zuzuleiten.

In jedem Fall ist dem behördlichen Datenschutzbeauftragten vor dem erstmaligen Einsatz

oder einer wesentlichen Änderung eines automatisierten Verfahrens, mit dem personenbe-

zogene Daten verarbeitet werden, sowie vor dem Einsatz einer Videoüberwachung Gele-

genheit zur Stellungnahme zu geben (Art. 12, 24 BayDSG).

Eine Beteiligung des behördlichen Datenschutzbeauftragten im Vorfeld der Beschaffung von

IT-Hard- und Software ist nur erforderlich, wenn datenschutzrechtlich bedeutsame Anschaf-

fungen geplant werden.

Zu § 10 (Datenschutzbericht)

Zu den Aufgaben des behördlichen Datenschutzbeauftragten gehört auch die Überwachung

der Einhaltung der Vorgaben der DSGVO nach Art. 39 Abs. 1 Buchst. b DSGVO. Der Daten-

37

schutzbeauftragte hat zudem unmittelbar der Behördenleitung zu berichten (vgl. Art. 38 Abs.

3 Satz 3 DSGVO). Zugleich verpflichtet Art. 24 Abs. 1 Satz 2 DSGVO den Verantwortlichen,

die umgesetzten technisch-organisatorischen Maßnahmen erforderlichenfalls zu überprüfen

und zu aktualisieren. Durch den in § 10 vorgesehenen Bericht wird den beiden miteinander

verschränkten Verpflichtungen des behördlichen Datenschutzbeauftragten und des Verant-

wortlichen durch ein Verfahren Rechnung getragen, das eine regelmäßige Beurteilung der

Datenschutzorganisation einer Behörde gewährleistet. Soweit dies auch auf andere Weise

sichergestellt wird, können die in § 10 vorgeschlagenen Berichtszeiträume verlängert oder

der Bericht durch ein anderes geeignetes Verfahren zur regelmäßigen Beurteilung des Da-

tenschutzes ersetzt werden (z.B. durch regelmäßige Besprechungen, in denen die in § 10

Satz 2 und 3 genannten Punkte erörtert werden).

Zu § 11 (Gewährleistung der Richtigkeit und Vollstä ndigkeit des Verarbeitungsver-

zeichnisses)

§ 11 enthält Verfahrensregelungen, die der Sicherstellung der Vollständigkeit und Aktualität

des Verarbeitungsverzeichnisses dienen.

Zu § 12 (Verfahren bei Datenschutzverletzungen nach Art. 33 und Art. 34 DSGVO)

§ 12 regelt das Verfahren bei Datenschutzverletzungen nach Art. 33 und Art. 34 DSGVO und

stellt die Beteiligung der zuständigen Organisationseinheiten sicher. Sowohl das Meldever-

fahren nach Art. 33 DSGVO als auch das Benachrichtigungsverfahren nach Art. 34 DSGVO

knüpfen an den Begriff der Datenschutzverletzung an. Eine Meldung an die Aufsichtsbehör-

de nach Art. 33 DSGVO ist nicht schon bei jedem Datenschutzverstoß erforderlich, sondern

nur bei Sicherheitsverletzungen, die, ob beabsichtigt oder unrechtmäßig, zur Vernichtung,

zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von bzw. zum unbefugten

Zugang zu personenbezogenen Daten geführt haben, die übermittelt, gespeichert oder auf

sonstige Weise verarbeitet wurden (vgl. Art. 4 Nr. 12 DSGVO). Eine Benachrichtigung der

betroffenen Person nach Art. 34 DSGVO ist nur bei Datenschutzverletzungen, die voraus-

sichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen

zur Folge haben, notwendig. Ausnahmen sind in Art. 13 BayDSG geregelt. Bei Datenverar-

beitungen nach Art. 28 BayDSG ist ergänzend Art. 33 BayDSG zu berücksichtigen.

Die Umsetzung der Meldung der Datenschutzverletzung an die Aufsichtsbehörde sowie die

Benachrichtigung der betroffenen Person kann auf den behördlichen Datenschutzbeauftrag-

38

ten nach § 6 übertragen werden. Ein Online-Formular zur Meldung von Datenschutzverlet-

zungen an den Landesbeauftragten für den Datenschutz, das auch eine Übersicht typisch

vorkommender Datenschutzverletzungen beinhaltet, findet sich auf der Homepage des Lan-

desbeauftragten für den Datenschutz unter https://www.datenschutz-

bayern.de/service/data_breach.html.

Zu § 13 (Auftragsverarbeitung)

§ 13 trifft Verfahrensbestimmungen zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei Da-

tenverarbeitungen nach Art. 28 BayDSG sind die Maßgaben nach Art. 28 Abs. 2 Satz 1 Nr. 3

BayDSG zu beachten.

Zu § 14 (Vertrauliche Meldung von Datenschutzverstö ßen nach Art. 36 BayDSG)

§ 14 enthält eine verfahrensrechtliche Bestimmung zur vertraulichen Meldung von Daten-

schutzverstößen nach Art. 32 BayDSG. Sie ist nur relevant bei Datenverarbeitungen im An-

wendungsbereich der Art. 28 bis 37 BayDSG.

Fünfter Teil: Schlussvorschriften

Zu § 15 (Inkrafttreten)

Die Vorschrift legt das Inkrafttreten der Geschäftsordnung auf den Zeitpunkt der unmittelba-

ren Geltung der DSGVO fest.

39

4.3 Anlage 1 (zu § 2)

Benennung als behördliche Datenschutzbeauftragte/be hördlicher Datenschutzbe-

auftragter

(Bezeichnung der öffentlichen Stelle)

Urkunde

Hiermit benenne ich

Frau/Herrn

(Amtsbezeichnung) (Vorname) (Name)

mit Wirkung vom (Datum des Wirksamwerdens der Bestellung)

alternativ: für die Dauer vom (Datum) bis zum (Datum)

als behördliche Datenschutzbeauftragte/behördlichen Datenschutzbeauftragten der/des (Be-

zeichnung der öffentlichen Stelle)

Gleichzeitig übertrage ich ihr/ihm die in der Datenschutz-Dienstanweisung/Datenschutz-

Geschäftsordnung der/des (Bezeichnung der öffentlichen Stelle) vom (Datum)

festgelegten Aufgaben.

(Ort/Datum) (Bezeichnung der öffentlichen Stelle)

Unterschrift

(Name und Amtsbezeichnung des Unterzeichners)

40

4.4 Anlage 2 (zu § 6)

Aufgaben des behördlichen Datenschutzbeauftragten

Die Aufgaben des/der Datenschutzbeauftragten umfass en:

(siehe Kennzeichnung)

I. Gesetzliche Aufgaben

Rechts -

grundlage

I. 1. Unterrichtung und Beratung des Verantwortlichen ode r des Au f-

tragsverarbeiters und der Beschäftigten, die Verarb eitungen durchführen,

hinsichtlich ihrer Pflichten, die sich aus dem Date nschutzrecht (DSGVO

sowie allgemeine und bereichsspezifische nationale Datenschutzregelun-

gen) ergeben.

Dies umfasst insbesondere:

I.1.1. Unterrichtung des Verantwortlichen, des Auftragsverarbeiters und der Be-

schäftigten der Behörde über die grundlegenden Bestimmungen des Daten-

schutzes und ihre jeweiligen Pflichten sowie Information bei gesetzlichen Neue-

rungen

I.1.2. Datenschutzrechtliche Beratung hinsichtlich aller mit dem Schutz perso-

nenbezogener Daten zusammenhängenden Fragestellungen und Aktivitäten, u.a.

• bei der Erstellung der Verarbeitungsbeschreibungen

• bei der Einführung neuer automatisierter Verfahren, mit denen perso-

nenbezogene Daten verarbeitet werden sollen oder wesentlichen Ände-

rungen

• bei Planungen und Entwürfen von Verträgen zur Auftragsverarbeitung

• hinsichtlich der Pflichten, insbesondere Informations- und Auskunfts-

pflicht, in Bezug auf die Rechte betroffener Personen nach Art 13 ff.

DSGVO

• hinsichtlich Meldungen bei Verletzung des Schutzes personenbezogener

Daten an die Aufsichtsbehörde (Art. 33 DSGVO) und Benachrichtigun-

gen (Art. 34 DSGVO)

I.1.3. Beantwortung von Anfragen und Einzelberatung von Beschäftigten in allen

Fragen des Schutzes personenbezogener Daten

I.1.4. Zusammenarbeit mit dem IT-Sicherheitsbeauftragten bzw. IT-

Verantwortlichen

I.1.5. Beratung des Verantwortlichen bei der Erstellung von Dienstanweisungen

Art. 39 Abs. 1

Buchst. a

DSGVO

41

und Dienstvereinbarungen mit Bezug zum Schutz personenbezogener Daten

I.2.6. Beratung bei der Erstellung eines IT-Sicherheitskonzeptes der Behörde zu

Anforderungen, die sich aus den Bestimmungen zum Schutz personenbezogener

Daten ergeben

I.2. Überwachung der Einhaltung der DSGVO und natio naler Datenschut z-

vorschriften sowie der Strategien des Verantwortlic hen oder des Auf-

tragsverarbeiters für den Schutz personenbezogener Daten einschließlich

der Zuweisung von Zuständigkeiten, der Sensibilisie rung und Schulung der

an den Verarbeitungsvorgängen beteiligten Mitarbeit er und diesbezügliche

Überprüfungen

Dies umfasst insbesondere:

I.2.1. Überwachung der Einhaltung der Datenschutzvorschriften sowie der be-

hördeninternen Vorgaben zum Schutz personenbezogener Daten

(Datenschutz-Dienstanweisung)

1.2.2. Überwachung und Kontrolle der Einhaltung datenschutzrechtlicher Vor-

schriften bei der Ausführung der in den Verarbeitungsbeschreibungen dokumen-

tierten Verarbeitungstätigkeiten

I.2.3. Überwachung und Kontrolle der Einhaltung der in den Verarbeitungsbe-

schreibungen dokumentierten technischen und organisatorischen Maßnahmen

zum Schutz personenbezogener Daten und zur Datensicherheit in Zusammenar-

beit mit dem Verantwortlichen, der IT-Abteilung und dem IT-Sicherheitsbeauftrag-

ten

I.2.4. Prüfung und Stellungnahme zur Einhaltung der gesetzlichen Bestimmun-

gen zum Schutz personenbezogener Daten in Verträgen zur Auftragsverarbei-

tung

• bei der Umstellung von bestehenden Verträgen auf die neuen gesetzli-

chen Grundlagen

• bei vom Verantwortlichen geplanten Abschluss neuer Verträge zur Auf-

tragsverarbeitung

I.2.5. Überwachung und Kontrolle der Einhaltung der in den Verträgen zur Auf-

tragsverarbeitung dokumentierten Vorgaben zum Schutz personenbezogener

Daten, einschließlich der technischen und organisatorischen Maßnahmen durch

den Auftragsverarbeiter in Zusammenarbeit mit dem Verantwortlichen, der IT-

Abteilung und dem IT-Sicherheitsbeauftragten

1.2.6 Fertigung von Stellungnahmen zu Datenschutzproblemen von Verwal-

tungsbereichen auf Anfrage oder in Eigeninitiative

1.2.7 Überwachung der Strategien des Verantwortlichen oder des Auftragsverar-

Art. 39 Abs. 1

Buchst. b

DSGVO

42

beiters für den Schutz personenbezogener Daten, auch im Hinblick auf Sensibili-

sierung und Schulung derjenigen Beschäftigten, die an Verarbeitungsvorgängen

beteiligt sind, bzw. diesbezügliche Überprüfungen

I.3. Beratung – auf Anfrage – im Zusammenhang mit der Datenschutz -

Folgenabschätzung und Überwachung ihrer Durchführun g gemäß Art. 35

DSGVO

I.3.1. Beratung auf Anfrage des Verantwortlichen hinsichtlich der Grundlagen und

Erfordernisse von Datenschutz-Folgenabschätzungen

I.3.2. Überwachung der ordnungsgemäßen Durchführung von Datenschutz-

Folgenabschätzungen

Art. 39 Abs. 1

Buchst. c

DSGVO

I.4. Zusammenarbeit mit der Aufsichtsbehörde

Art. 39 Abs. 1

Buchst. d

DSGVO

I.5. Tätigkeit als Anlaufstelle für die Aufsichtsbe hörde in mit der Verarbe i-

tung zusammenhängenden Fragen, einschließlich der v orherigen Konsulta-

tion gemäß Art 36 DSGVO und gegebenenfalls Beratung zu allen sonstigen

Fragen

Art. 39 Abs. 1

Buchst. e

DSGVO

I.6. Beratung betroffener Personen zu allen mit der Verarbeitung ihrer pe r-

sonenbezogenen Daten und mit der Wahrnehmung ihrer Rechte gemäß

DSGVO im Zusammenhang stehenden Fragen

Art. 38 Abs. 4

DSGVO

I.6.1. Beratung betroffener Personen - auf Anfrage

I.6.2. Weiterleitung von Anfragen, Auskunftsersuchen und Beschwerden an den

Verantwortlichen und Überwachung der Erledigung/Beantwortung durch ihn

I.7. Stellungnahme vor dem erstmaligen Einsatz oder einer wesentlichen

Änderung eines automatisierten Verfahrens, mit dem personenbezogene

Daten verarbeitet werden.

Art. 12

BayDSG

I.8.Stellungnahme vor dem Einsatz geplanter Videoüberwachungen, insb e-

sondere hinsichtlich Zweck, räumlicher Ausdehnung, Dauer der Video-

überwachung, betroffenem Personenkreis, vorgesehene r Maßnahmen zur

Kenntlichmachung und vorgesehener Auswertungen

Art. 24 Abs. 5

BayDSG

43

I.9. Erstellung von Beric hten und Meldungen an die Behördenleitung

I.9.1. Anlassbezogene Einzelmeldungen bei Feststellungen von Verletzungen

des Schutzes personenbezogener Daten, insbesondere wenn die Verletzung

voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Perso-

nen führt

I.9.2. Erstellung von regelmäßigen Berichten zur Datenschutz-Situation der Be-

hörde an die Behördenleitung, zu den in der Dienstanweisung Datenschutz fest-

gelegten Terminen

Art. 38 Abs. 3

Satz 3

DSGVO

I.10. Regelmäßige eigene Fortbildun g zum Datenschutz

Ort, Datum

Unterschrift

Behördenleiter/in

4.5 Anlage 3 (zu § 11)

(1) Siehe Muster unter Nummer 5.4 (Muster einer Beschreibung einer Verarbei-

tungstätigkeit nach Art. 30 Abs. 1 DSGVO und Art. 31 BayDSG).

44

5. Das Verzeichnis der Verarbeitungstätigkei-ten

Die Datenschutz-Grundverordnung (DSGVO) verlangt von jeder öffentlichen Stelle den

Nachweis, dass die von ihr oder in ihrem Auftrag vorgenommenen Verarbeitungen perso-

nenbezogener Daten im Einklang mit den datenschutzrechtlichen Vorschriften erfolgen („Re-

chenschaftspflicht“, vgl. Art. 5 Abs. 2 DSGVO). Als ein wesentlicher Bestandteil dieser Re-

chenschaftspflicht sind ab dem 25. Mai 2018 alle „Verarbeitungstätigkeiten“ einer öffentlichen

Stelle in einem Verzeichnis (Verarbeitungsverzeichnis) schriftlich oder elektronisch zu doku-

mentieren (Art. 30 Abs. 1 DSGVO).

Das Verarbeitungsverzeichnis ist zentraler Ausgangspunkt für den Vollzug des Datenschutz-

rechts. In ihm wird dokumentiert, welche Kategorien von personenbezogenen Daten verar-

beitet werden. Auskunftsersuchen der betroffenen Personen nach Art. 15 DSGVO können

beispielsweise nur bearbeitet werden, wenn die öffentliche Stelle weiß, welche Daten sie

über welche Personen verarbeitet. Auch für die Erstellung von Formularen, mit denen bei

den Bürgern Daten erhoben werden, sind die Angaben im Verarbeitungsverzeichnis hilfreich,

da nach Art. 13 Abs. 1 und 2 DSGVO in Erhebungsformularen weitgehend gleiche Angaben

zu machen sind.

Das Verarbeitungsverzeichnis ist nach Art. 30 Abs. 1 DSGVO vom Verantwortlichen zu füh-

ren, also von der öffentlichen Stelle, die personenbezogene Daten verarbeitet. Der behördli-

che Datenschutzbeauftragte hat nach Art. 12 Abs. 1 Satz 1 Nr. 1 BayDSG Zugang zu dem

Verzeichnis. Dies kann auch durch einen Online-Zugriff auf ein elektronisch geführtes Ver-

zeichnis geschehen.

Das Verarbeitungsverzeichnis ist aktuell zu halten. Insofern sollte die öffentliche Stelle dafür

Sorge tragen, dass die das Verzeichnis führende Organisationseinheit von Änderungen bei

bereits in das Verzeichnis aufgenommenen Verarbeitungstätigkeiten ebenso zeitnah erfährt

wie von der Etablierung neuer Verarbeitungstätigkeiten, die einer Aufnahme in das Ver-

zeichnis bedürfen. Die Zusammenarbeit mit der das Verzeichnis führenden Organisations-

einheit sollte möglichst in einer Dienstanweisung geregelt werden.

Dem Landesbeauftragten für den Datenschutz ist auf Anforderung das Verarbeitungsver-

zeichnis – bei einem elektronisch geführten Verzeichnis gegebenenfalls in Form von Ausdru-

cken – zur Verfügung zu stellen.

45

5.1 Welche öffentlichen Stellen müssen ein Verarbei tungsverzeichnis führen?

Alle öffentlichen Stellen, die personenbezogene Daten ganz oder teilweise automatisiert ver-

arbeiten oder bei denen Daten in einem Dateisystem gespeichert sind oder gespeichert wer-

den sollen, müssen ein Verarbeitungsverzeichnis führen. Unerheblich ist, ob die Verarbei-

tung durch die öffentliche Stelle selbst erfolgt oder von einem Auftragsverarbeiter durchge-

führt wird. Die in Art. 30 Abs. 5 DSGVO enthaltenen Ausnahme von der Pflicht zur Führung

des Verzeichnisses für „Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter

beschäftigen“ ist auf öffentliche Stellen nicht anwendbar.

5.2 Weiterverwendung vorhandener Verfahrensverzeich nisse

Als Grundlage für die Erstellung des Verarbeitungsverzeichnisses können das bisher für au-

tomatisierte Verfahren nach Art. 27 BayDSG geführte Verfahrensverzeichnis bzw. die bei der

Polizei geführten Errichtungsanordnungen dienen. Die nun nach Art. 30 Abs. 1 DSGVO und

die bisher nach Art. 27 Abs. 2 i. V. m. Art. 26 Abs. 2 BayDSG erforderlichen Angaben sind in

weiten Teilen deckungsgleich. Ist das Verfahrensverzeichnis ordnungsgemäß geführt und

liegen Verfahrensbeschreibungen vor, kann das Verfahrensverzeichnis in der Regel mit

überschaubarem Aufwand in das neue Verarbeitungsverzeichnis überführt werden. Zusätz-

lich aufzunehmen sind bei automatisierten Verarbeitungstätigkeiten insbesondere der Name

und die Kontaktdaten des Datenschutzbeauftragten (siehe Art. 30 Abs. 1 Satz 2 Buchst. a

DSGVO), die Kategorien von Empfängern nicht nur im Fall regelmäßiger Übermittlungen

(Art. 30 Abs. 1 Satz 2 Buchst. d DSGVO) sowie eine allgemeine Beschreibung der techni-

schen und organisatorischen Maßnahmen.

Neu in das Verarbeitungsverzeichnis aufzunehmen sind – anders als bisher beim Verfah-

rensverzeichnis – auch nichtautomatisierte Verarbeitungstätigkeiten, soweit dabei personen-

bezogene Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen (vgl.

die Erläuterungen zum anliegenden Formblatt).

5.3 Keine Veröffentlichungspflicht, kein Recht auf Einsichtnahme

Eine Veröffentlichung des Verarbeitungsverzeichnisses ist von der DSGVO nicht vorgese-

hen. Im Hinblick auf die dort enthaltene Beschreibung der technischen und organisatorischen

Maßnahmen könnte eine solche Veröffentlichung auch Geheimhaltungsinteressen berühren.

Ein Recht auf Einsichtnahme in das Verzeichnis enthält die DSGVO ebenfalls nicht. Aus-

kunftsersuchen des Betroffenen, ob und ggf. welche Daten zu seiner Person von der öffentli-

chen Stelle verarbeitet werden, sind ab dem 25. Mai 2018 nach Art. 15 DSGVO zu bearbei-

46

ten. Wie andere Behördeninformationen unterliegt das Verzeichnis allerdings auch den all-

gemeinen Informationszugangsrechten, so dass Auskunftsbegehren über den Inhalt der Ver-

zeichnisse ab diesem Zeitpunkt nach Art. 39 BayDSG und ggf. nach Maßgabe der dort fest-

gelegten Anspruchsbegrenzungen und Ausschlusstatbeständen zu beurteilen sind.

47

5.4 Muster einer Beschreibung einer Verarbeitungstä tigkeit nach Art. 30 Abs. 1 DSGVO und

Art. 31 BayDSG

1. Allgemeine Angaben Bezeichnung der Verarbeitungstätigkeit

Aktenzeichen

Stand:

Verantwortlicher ( Bezeichnung, Anschrift, E-Mail-Adresse und Telefonnummer der öffentlichen Stelle)

Falls zutreffend: Angaben zu weiteren gemeinsam für die Verarbeitung Verantwortlichen (jeweils Bezeichnung, Anschrift, E-Mail-Adresse und Telefonnummer)

Behördlicher Datenschutzbeauftragter (Name, dienstliche Anschrift, E-Mail-Adresse, Telefonnummer)

2. Zwecke und Rechtsgrundlagen der Verarbeitung Zwecke

Rechtsgrundlagen

3. Kategorien der personenbezogenen Daten Lfd. Nr. Bezeichnung der Daten

4. Kategorien der betroffenen Personen Lfd. Nr. Betroffene Personen

5. Kategorien der Empfänger, denen die personenbezo genen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger i n Drittländern oder internationalen Organi-sationen

Lfd. Nr. Empfänger Anlass der Offenlegung

6. Falls zutreffend: Übermittlungen von personenbez ogenen Daten an ein Drittland oder an eine internationale Organisation

Lfd. Nr. Drittland oder internationale Organi-sation

Geeignete Garantien im Falle einer Übermittlung nac h Art. 49 Abs. 1 Unterabsatz 2 DSGVO

7. Vorgesehene Fristen für die Löschung der verschi edenen Datenkategorien Lfd. Nr. Löschungsfrist

48

8. Allgemeine Beschreibung der technischen und orga nisatorischen Maßnahmen gemäß Art. 32 Abs. 1 DSGVO, ggf. einschließlich der Maßnahmen nac h Art. 8 Abs. 2 Satz 2 BayDSG

Weitere Angaben

9. Nur für Polizei- und Strafjustizbehörden Erfolgt ein Profiling im Sinne von Art. 4 Nr. 4 DSGVO?

☐ Ja ☐ Nein

Falls ja: Welche Art von Profiling wird durchgeführt ?

Besteht für die Verarbeitung eine Errichtungsanordnu ng?

☐ Ja, ☐ Nein Falls ja, bitte Datum und Aktenzeichen angeben

10. Verantwortliche Organisationseinheit Dienststelle / Sachgebiet / Abteilung

11. Datenschutz-Folgenabschätzung Ist für die Form der Verarbeitung eine Datenschutz-F olgenabschätzung nach Art. 35 DSGVO erforderlich?

☐ Ja, ☐ Nein Falls ja, bis wann durchzuführen oder zu überprüfen

Begründung

12. Stellungnahme des behördlichen Datenschutzbeauf tragten Liegt eine Stellungnahme des behördlichen Datenschut zbeauftragten vor?

☐ Ja ☐ Nein

Ggf. nähere Erläuterung

- 49 -

5.5 Erläuterungen zum Muster

Welche Verarbeitungstätigkeiten sind in das Verzeic hnis aufzunehmen?

Aufzunehmen sind alle ganz oder teilweise automatisierten Verarbeitungstätigkei-

ten – also alle Verarbeitungstätigkeiten, die ganz oder teilweise mit Hilfe von IT-

Systemen erfolgen.

Nichtautomatisierte Verarbeitungstätigkeiten sind aufzunehmen, soweit die perso-

nenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert

werden sollen (Art. 2 Abs. 1 DSGVO, Art. 2 Satz 2 BayDSG).

„Dateisystem“ ist nach Art. 4 Nr. 6 DSGVO jede strukturierte Sammlung perso-

nenbezogener Daten, die nach bestimmten Kriterien zugänglich ist. Diese Voraus-

setzung wird regelmäßig vorliegen, wenn eine strukturierte Verarbeitungstätigkeit

schriftlich oder elektronisch dokumentiert und in einer Registratur gespeichert

wird, wie dies bei Behörden üblich ist (vgl. z.B. § 12 ff. der Allgemeinen Ge-

schäftsordnung für die Behörden des Freistaates Bayern – AGO). Insbesondere

die Verwendung von Vordrucken für die Erhebung von Daten oder den Verwal-

tungsablauf ist ein Anhaltspunkt für die Pflicht zur Aufnahme in das Verarbei-

tungsverzeichnis.

Das Verarbeitungsverzeichnis soll einerseits alle Verarbeitungstätigkeiten ausrei-

chend konkret darstellen, anderseits nicht zu kleinteilig sein. Der Begriff der „Ver-

arbeitungstätigkeit“ umfasst alle Verarbeitungsschritte, Vorgänge und Vorgangs-

reihen, die einem gemeinsamen Zweck dienen. Es ist daher nicht zu jedem ein-

zelnen Verarbeitungsschritt bzw. Vorgang oder zu einer Vorgangsreihe ein eige-

ner Verzeichniseintrag zu erstellen. Vielmehr ist ein zusammenfassender Ver-

zeichniseintrag für die durch den Zweck gleichsam „verklammerte“ Verarbeitungs-

tätigkeit ausreichend. Insbesondere müssen Verarbeitungsschritte, die nur unter-

geordnete Hilfsfunktion haben und damit keinem eigenen neuen Zwecken, son-

dern letztlich nur dem Zweck der eigentlichen Verarbeitungstätigkeit dienen, nicht

gesondert aufgeführt werden.

Beispiele für aufzunehmende Verarbeitungstätigkeiten:

- Führung des Melderegisters

- Führung des Gewerberegisters

- Personalaktenverwaltung

- Beihilfebearbeitung

- 50 -

- Wohngeldbearbeitung

- Bearbeitung von Bauanträgen

- Zeiterfassung

- Einzelne Videoüberwachungen (auch mit mehreren Kameras, soweit an

einem Ort)

- Durchführung von Wahlen und Abstimmungen

- Fahrerlaubnisverwaltung

- Kfz-Zulassung

Zu Nr. 1 (Allgemeine Angaben)

(Art. 30 Abs. 1 Satz 2 Buchst. a DSGVO)

Die Bezeichnung der Verarbeitungstätigkeit soll allgemeinverständlich sein und

den jeweiligen Zweck erkennen lassen. Beispiele siehe oben.

„Verantwortlicher“ ist die Behörde oder sonstige öffentliche Stelle, die selbst oder

mittels eines Auftragsverarbeiters die Verarbeitung durchführt. Die in Art. 30

Abs. 1 Satz 2 Buchst. a DSGVO genannten „Vertreter“ beziehen sich auf den Ver-

treter im Sinne von Art. 4 Nr. 17 DSGVO und sind damit für öffentliche Stellen

nicht relevant.

„Gemeinsam für die Verarbeitung Verantwortliche“ liegen vor, wenn zwei oder

mehrere Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung fest-

legen (Art. 26 DSGVO).

Als „Anschrift“ ist jeweils Postleitzahl, Ort, Straße und Hausnummer anzugeben.

Zu Nr. 2 (Zwecke und Rechtsgrundlagen der Verarbeit ung)

(Art. 30 Abs. 1 Satz 2 Buchst. b DSGVO; Art. 31 BayDSG)

Die Angabe der Rechtsgrundlagen der Verarbeitungstätigkeit geht über die in

Art. 30 Abs. 1 Satz 2 DSGVO aufgeführten Mindestangaben hinaus. Die Angabe

dient dem Nachweis, dass diese Frage geprüft wurde. Für Verarbeitungen im An-

wendungsbereich der Richtlinie zum Datenschutz bei Polizei und Justiz (Richtlinie

(EU) 2016/680, vgl. Art. 28 Abs. 1 BayDSG) ist die Angabe der Rechtsgrundlagen

demgegenüber verpflichtend (Art. 31 BayDSG).

Soweit keine bereichsspezifische gesetzliche Regelung (wie etwa auch Art. 4

Abs. 1 BayDSG) besteht, kommen als Rechtsgrundlagen die Tatbestände nach

Art. 6 – bei besonderen Kategorien personenbezogener Daten in Verbindung mit

Art. 9 DSGVO und Art. 8 BayDSG - in Betracht.

- 51 -

Zu Nr. 3 (Kategorien der personenbezogenen Daten)

(Art. 30 Abs. 1 Satz 2 Buchst. c DSGVO)

Unter Kategorien sind aussagefähige Oberbegriffe zu verstehen, z.B. „Name und

Vorname“, „Anschrift“, „Staatsangehörigkeit“. Angaben rein technischer Art (z.B.

Feldnummern, Schlüsselnummern usw.) sind nicht erforderlich. Die Bezugnahme

auf beigefügte Beschreibungen von Datensätzen ist zulässig, wenn aus diesen die

personenbezogenen Daten eindeutig hervorgehen.

Zu Nr. 4 (Kategorien der betroffenen Personen)

(Art. 30 Abs. 1 Satz 2 Buchst. c DSGVO)

Zu beschreiben sind hier Personengruppen, die von der Verarbeitung betroffen

sind. Beispiel: „Bauantragsteller“ oder „Beihilfeberechtigte und deren Angehörige“.

Anzugeben sind auch Personengruppen innerhalb der öffentlichen Stellen, deren

Daten verarbeitet werden. Beispiel: „Sachbearbeiter im Bauamt“.

Zu Nr. 5 (Kategorien der Empfänger)

(Art. 30 Abs. 1 Satz 2 Buchst. d DSGVO)

Nach Art. 4 Nr. 9 DSGVO ist Empfänger „eine natürliche oder juristische Person,

Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offenge-

legt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder

nicht“. Zu den Empfängern gehören daher auch Auftragsverarbeiter sowie Stellen

innerhalb der Behörde, denen die Daten weitergegeben werden oder die Zugriff

auf die Daten haben.

Zu beachten ist ferner die Ausnahmeregelung des Art 4 Nr. 9 Satz 2 DSGVO, wo-

nach Behörden unter bestimmten, in dieser Vorschrift genannten Voraussetzun-

gen nicht als Empfänger gelten.

Zu Nr. 6 (Übermittlungen von personenbezogenen Date n an ein Drittland

oder an eine internationale Organisation)

(Art. 30 Abs. 1 Satz 2 Buchst. e DSGVO)

Als Drittländer werden alle Länder außerhalb der Europäischen Union oder des

Europäischen Wirtschaftsraumes bezeichnet. Im Falle einer Übermittlung an ein

Drittland oder eine internationale Organisation nach Art. 49 Abs. 1 Unterabsatz 2

DSGVO sind die geeigneten Garantien in Bezug auf den Schutz personenbezo-

gener Daten in Spalte 3 festzuhalten. Soweit erforderlich kann dazu auf ergänzen-

- 52 -

de Dokumente verwiesen werden.

Zu Nr. 7 (Vorgesehene Fristen für die Löschung der verschiedenen Datenka-

tegorien)

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die

Zwecke erforderlich ist, für die sie verarbeitet werden (Grundsatz der „Speicher-

begrenzung“, Art. 5 Abs. 1 Buchst. e DSGVO). Gespeicherte Daten sind daher

unverzüglich zu löschen, sobald sie für die Aufgabenerfüllung der öffentlichen

Stelle nicht mehr erforderlich sind (vgl. DSGVO-Erwägungsgrund 39). Der Ver-

antwortliche sollte daher Fristen für die Löschung oder regelmäßige Überprüfung

der personenbezogenen Daten vorsehen (vgl. DSGVO-Erwägungsgrund 39).

Fachgesetzliche Regelungen sind zu beachten.

Über den eigentlichen Speicherungsanlass hinaus (z.B. zur Bearbeitung eines

Antrags auf Baugenehmigung) kann eine Speicherung auch zur Erfüllung von Do-

kumentationspflichten erforderlich sein.

Anzugeben ist auch der Beginn der Löschungsfrist. Vor einer Löschung von Daten

sind die archivrechtlichen Anbietungspflichten zu beachten.

Zu Nr. 8 (Allgemeine Beschreibung der technischen u nd organisatorischen

Maßnahmen gemäß Artikel 32 Absatz 1 DSGVO ggf. eins chließlich der Maß-

nahmen nach Art. 8 Abs. 2 Satz 2 BayDSG)

(Art. 30 Abs. 1 Satz 2 Buchst. g DSGVO; Art. 8 Abs. 2 Satz 2 BayDSG)

Hier sind die technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1

DSGVO allgemein zu beschreiben. Trotz der in Art. 30 Abs. 1 Satz 2 Buchst. g

DSGVO verwendeten Formulierung „wenn möglich“ hat der Verantwortliche hier in

aller Regel Angaben zu machen, da er ohnehin verpflichtet ist, „geeignete techni-

sche und organisatorische Maßnahmen“ zu treffen. Entsprechende Informationen

werden dem Verantwortlichen daher in aller Regel vorliegen.

Eine Beschreibung von Maßnahmen nach Art. 8 Abs. 2 Satz 2 BayDSG ist erfor-

derlich, wenn besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1

DSGVO verarbeitet werden.

Aus datenschutzrechtlicher Sicht zentral ist insbesondere die Fähigkeit, die Ver-

traulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste im Zusammen-

hang mit der Verarbeitung auf Dauer sicherzustellen. Es ist zulässig und oft auch

ausreichend, wenn dazu und im Hinblick auf die weiteren in Art. 32 Abs. 1 DSGVO

- 53 -

genannten Maßnahmen auf ein vorhandenes Informationssicherheitskonzept ver-

wiesen wird (vgl. Art. 11 Abs. 1 Satz 2 Bayerisches E-Government-Gesetz).

Zu Nr. 9. (Nur für Verarbeitungen durch Polizei- un d Strafjustizbehörden)

(Art. 31 BayDSG)

Angaben zum Profiling sind nur erforderlich, wenn bei Verarbeitungen im Sinne

des Art. 28 Abs. 1 BayDSG im Anwendungsbereich der Richtlinie zum Daten-

schutz bei Polizei und Justiz ein Profiling erfolgt. Relevant kann dies für Behörden

der Polizei, Gerichte in Strafsachen und Staatsanwaltschaften, Strafvollstre-

ckungs- und Justizvollzugsbehörden sowie Behörden des Maßregelvollzugs sein,

soweit diese personenbezogene Daten zum Zwecke der Verhütung, Ermittlung,

Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten,

einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche

Sicherheit verarbeiten. Sonstige Behörden können nur betroffen sein, soweit diese

personenbezogene Daten verarbeiten, um Straftaten oder Ordnungswidrigkeiten

zu verfolgen oder zu ahnden.

„Profiling“ ist nach Art. 4 Abs. 4 DSGVO „jede Art der automatisierten Verarbeitung

personenbezogener Daten, die darin besteht, dass diese personenbezogenen

Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine

natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich

Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interes-

sen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürli-

chen Person zu analysieren oder vorherzusagen“.

Errichtungsanordnungen werden nach Art. 47 PAG bzw. zukünftig nach Art. 64

Abs. 1 PAG erstellt.

Zu Nr. 10 (Verantwortliche Organisationseinheit)

Hier ist die Dienststelle, das Referat oder die sonstige Organisationseinheit der

öffentlichen Stelle anzugeben, in der die Verarbeitungstätigkeit erfolgt. Beispiele:

„Personalreferat“ oder „Bauamt“.

Zu Nr. 11 (Datenschutz-Folgenabschätzung)

Die Angabe, ob eine Datenschutz-Folgenabschätzung für die Verarbeitungstätig-

keit durchzuführen ist, geht über die Art. 30 Abs. 1 Satz 2 DSGVO aufgeführten

- 54 -

Mindestangaben für die Beschreibung von Verarbeitungstätigkeiten hinaus. Sie

dient dem Nachweis, dass diese Frage in Abstimmung mit dem behördlichen Da-

tenschutzbeauftragten geprüft wurde.

Welches Risiko für die Rechte und Freiheiten natürlicher Personen von einer be-

absichtigten Verarbeitung personenbezogener Daten ausgeht und wie dieses Ri-

siko bewältigt werden kann, ist vor jeder Verarbeitung zu prüfen. Eine Daten-

schutz-Folgenabschätzung nach Art. 35 Abs. 1 Satz 1 DSGVO ist dagegen nur

durchzuführen, wenn „eine Form der Verarbeitung, insbesondere bei Verwendung

neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwe-

cke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freihei-

ten natürlicher Personen zur Folge“ hat. Diese Voraussetzung wird nur bei weni-

gen Verarbeitungstätigkeiten vorliegen. Für Polizeibehörden richtet sich die Da-

tenschutz-Folgenabschätzung nach Art. 64 Abs. 2 PAG.

Die Datenschutz-Folgenabschätzung ist „vorab“, d.h. vor dem Einsatz einer Verar-

beitung durchzuführen. Für bereits laufende Verarbeitungen, die ohne wesentliche

Änderungen fortgeführt werden und die eine Datenschutz-Folgenabschätzung

erfordern, ist diese in einer Übergangsfrist spätestens bis zum 25. Mai 2021 nach-

zuholen.

Nr. 8 dieser Arbeitshilfe enthält weitere Hinweise zu den Voraussetzungen und der

Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

Zu Nr. 12 (Stellungnahme des behördlichen Datenschu tzbeauftragten)

Dem behördlichen Datenschutzbeauftragten ist vor dem erstmaligen Einsatz oder

einer wesentlichen Änderung eines automatisierten Verfahrens, mit dem perso-

nenbezogene Daten verarbeitet werden, Gelegenheit zur Stellungnahme zu geben

(Art. 12 Abs. 1 Satz 1 Nr. 2 BayDSG). Eine Stellungnahme des behördlichen Da-

tenschutzbeauftragten ist nach Art. 24 Abs. 5 BayDSG auch vor dem Einsatz einer

Videoüberwachung einzuholen.

- 55 -

6. Die Informationspflichten des Ver-antwortlichen nach Art. 13 und 14 DSGVO

6.1 Allgemeines zu den Informationspflichten

Zur Erfüllung der Grundsätze einer fairen und transparenten Verarbeitung von

personenbezogenen Daten sehen Art. 13 und 14 DSGVO umfangreiche Informa-

tionspflichten bei der Erhebung personenbezogener Daten vor. In den Anlagen zu

diesem Teil der Arbeitshilfen finden sich Mustertexte bzw. Formulierungshilfen.

Wesentliche Angaben zur Erfüllung der Informationspflichten nach Art. 13 und 14

DSGVO decken sich mit den Angaben im Verzeichnis der Verarbeitungstätigkeiten

nach Art. 30 Abs. 1 DSGVO und können daher insoweit aus der jeweiligen

Beschreibung der Verarbeitungstätigkeit übernommen werden.

Nach Art. 12 Abs. 5 DSGVO sind Informationen gemäß den Artikeln 13 und 14

DSGVO grundsätzlich unentgeltlich zur Verfügung zu stellen.

Die nachfolgenden Ausführungen setzen voraus, dass die Regelungen der

DSDGVO und des BayDSG Anwendungen finden und im Fachrecht keine Son-

dervorschiften bestehen (wie z.B. in den §§ 32a, 32b und 32d der Abgabenord-

nung, den §§ 82 und 82a des SGB X und im Anwendungsbereich des Teil 3, Ka-

pitel 8 BayDSG (Art. 28 bis 37 BayDSG) bei der Verfolgung und Ahndung von

Ordnungswidrigkeiten).

6.2 In welchen Fällen besteht eine Informationspfli cht?

Der Verantwortliche ist zur Information der betroffenen Person verpflichtet, wenn

eine der folgenden drei Fallgruppen vorliegt:

� Personenbezogene Daten werden direkt bei der betroffenen Person erhoben

(Art. 13 DSGVO, vgl. dazu Mustertext 1) – dies ist der Standardfall.

� Personenbezogene Daten werden nicht bei der betroffenen Person erhoben

(also z.B. bei Dritten oder aus öffentlich zugänglichen Quellen, Art. 14 DSG-

VO, vgl. dazu Mustertext 2).

� Der Verantwortliche beabsichtigt, die personenbezogenen Daten für einen

anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen

- 56 -

Daten beim Betroffenen (Art. 13 Abs. 3 DSGVO, vgl. Nr. 11 in Mustertext 1)

erhoben wurden oder sonst erlangt wurden (Art. 14 Abs. 4 DSGVO, vgl.

Nr. 12 in Mustertext 2)

Für alle drei vorgenannten Fallgruppen wird folgendes Prüfschema empfohlen:

1. Liegt ein Fall von Art. 13 oder 14 DSGVO bzw. eine Zweckänderung vor?

2. Ist eine Ausnahme einschlägig (z.B. im Fachgesetz, in Art. 13 Abs. 4,

Art. 14 Abs. 5 DSGVO oder Art. 9 Abs. 1 BayDSG-E) oder wurde die be-

troffene Person bereits anderweitig informiert?

3. In welcher Form und mit welchem Inhalt ist die betroffene Person zu infor-

mieren? Dies ist nicht zuletzt von der Frage abhängig, wie die Erhebung der

Daten erfolgt (schriftlich, elektronisch, mündlich).

6.3 Wann muss die Information erfolgen (Art. 13 Abs . 1 und Abs. 3, Art. 14

Abs. 3 und Abs. 4 DSGVO)?

� Nach Art. 13 DSGVO sind grundlegende Angaben zum Zeitpunkt der Erhe-

bung mitzuteilen (Art. 13 Abs. 1 DSGVO) und weitere Informationen zur Ver-

fügung zu stellen (Art. 13 Abs. 2 DSGVO).

� Bei einer beabsichtigten Weiterverarbeitung von Daten, die bei der betroffe-

nen Person erhoben wurden, zu einem anderen Zweck als dem, der bei der

Erhebung zugrunde lag, ist die betroffene Person vor dieser Weiterverarbei-

tung zu informieren (Art. 13 Abs. 3 DSGVO).

� Die Informationen über eine Erhebung nicht bei der betroffenen Person nach

Art. 14 Abs. 1 und 2 DSGVO sind der betroffenen Person innerhalb einer an-

gemessenen Frist, spätestens jedoch innerhalb eines Monats mitzuteilen bzw.

zur Verfügung zu stellen (Art. 14 Abs. 3 Buchstabe a DSGVO). Falls die per-

sonenbezogenen Daten zur Kommunikation mit der betroffenen Person ver-

wendet werden sollen (etwa in einem Anschreiben), ist die Information spätes-

tens zum Zeitpunkt der ersten Mitteilung zu erteilen. Falls die Offenlegung an

einen anderen Empfänger beabsichtigt ist, ist die Information spätestens zum

Zeitpunkt der ersten Offenlegung zu erteilen (Art. 14 Abs. 3 Buchstabe b und

c DSGVO).

� Auch bei Daten, die nicht bei der betroffenen Person erhoben wurden, ist bei

einer beabsichtigten Weiterverarbeitung der Daten zu einem anderen Zweck

als dem, der bei der Erhebung zugrunde lag, die betroffene Person vor dieser

Weiterverarbeitung zu informieren (Art. 14 Abs. 4 DSGVO).

- 57 -

6.4 Informationspflicht bei einer Videoüberwachung

Eine besondere Regelung der Informationspflicht enthält Art. 24 Abs. 2 BayDSG

für die Videoüberwachung. Setzen bayerische öffentliche Stellen Videoüberwa-

chungsanlagen ein, so sind diese durch geeignete Maßnahmen erkennbar zu

machen (z.B. durch Hinweisschilder oder Piktogramme). Dabei ist der Verantwort-

liche anzugeben, wenn er nicht aus den Umständen hervorgeht (Art. 24 Abs. 2

BayDSG-E).

Eine Information der von der Videoüberwachung betroffenen Personen nach

Art. 13 DSGVO ist erst notwendig, wenn die Videoaufnahme einer bestimmten

Person zugeordnet wird und die Aufnahmen zu dieser bestimmten Person ge-

speichert werden.

6.5 1. Fallgruppe: Informationspflicht bei einer Er hebung bei der betroffe-

nen Person

Liegt ein Fall des Art. 13 DSGVO vor? 6.5.1

Damit die Informationspflichten nach Art. 13 DSGVO greifen, muss überhaupt

eine Erhebung von Daten vorliegen. Dies ist nicht der Fall, wenn der Verantwortli-

che die Daten nicht aktiv beschafft, sondern die Daten der öffentlichen Stelle

„aufgedrängt“ werden, d.h. von der betroffenen Person selbst oder von Dritten

ohne Aufforderung geliefert werden.

Beispiele für Datenerhebungen:

• Datenerhebung auf einer Internetseite, auf der eine betroffene Person

Informationen eingeben muss

• Datenerhebung mittels Formular, das die betroffene Person ausfüllt und an

die öffentliche Stelle sendet oder bei der jeweiligen Dienststelle abgibt

• Datenerhebung mittels E-Mail-Anfrage oder einem Telefonanruf

• Datenerhebung in einem persönlichen Gespräch

Beispiele für „aufgedrängte Daten“:

• eine Person wendet sich mit einer Anfrage an die Behörde

• eine Person zeigt einen Schwarzbau an

• ein Notruf geht über die allg. Notrufnummern ein

- 58 -

Liegt eine Erhebung vor, erfasst Art. 13 DSGVO nur die Erhebung bei der

betroffenen Person selbst. Werden die Daten nicht bei der betroffenen Person

selbst erhoben, sondern etwa von einer anderen öffentlichen Stelle auf Anfrage

übermittelt, ist Art. 14 DSGVO zu prüfen.

Besteht eine Ausnahme von der Informationspflicht 6.5.2

Ausnahmen von den Informationspflichten finden sich in Art. 13 Abs. 4 DSGVO

sowie in Art. 9 Abs. 1 BayDSG. Weitere Ausnahmen können sich aus

Fachgesetzen ergeben, z.B. aus der Abgabenordnung (AO).

Keine Informationspflicht, wenn und soweit die betr offene Person bereits

über die Informationen verfügt

Eine Information der betroffenen Person ist danach nicht erforderlich, wenn und

soweit die betroffene Person bereits über die Informationen verfügt (Art. 13 Abs. 4

DSGVO):

• In einem Verwaltungsverfahren ist es ausreichend, die betroffene Person

zu Beginn des Verfahrens – in der Regel bei Antragseinreichung – zu

informieren. Sollten sich im weiteren Verfahren Rückfragen ergeben, die zu

einer erneuten Datenerhebung bei der betroffenen Person führen, löst dies

in der Regel keine neue Informationspflicht aus.

• Eine Information der betroffenen Person ist nicht erforderlich, soweit sich

die Informationen eindeutig aus den Umständen der Erhebung ergeben.

So kann z.B. bei einer Fahrkartenkontrolle in öffentlichen Verkehrsmitteln

vorausgesetzt werden, dass die kontrollierte Person weiß, welcher

Verantwortliche für welchen Zweck die Daten auf den Fahrausweisen

erhebt.

• Auch bei wiederholten Erhebungen, die dem gleichen Zweck dienen, kann

in der Regel vorausgesetzt werden, dass die betroffene Person bereits

über die Information verfügt und eine Wiederholung der Information nicht

erforderlich ist, z.B. bei wiederholten Lebensmittelkontrollen im gleichen

Betrieb, bei wiederholten Hausbesuchen in der Jugend- und Familienhilfe

usw.

Einschränkung der Informationspflicht nach Art. 9 A bs. 1 BayDSG

- 59 -

Eine Information der betroffenen Person muss danach nicht erfolgen, soweit und

solange dies erforderlich ist

• zur Abwehr erheblicher Nachteile für das Gemeinwohl oder von Gefahren

für die öffentliche Sicherheit und Ordnung,

• zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur

Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen i.S. des.

§ 11 Abs. 1 Nr. 8 des Strafgesetzbuchs oder von Erziehungsmaßregeln

oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur

Vollstreckung von Bußgeldbescheiden sowie

• zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer

anderen Person (Art. 9 Abs. 1 i.V.m. Art. 6 Abs. 2 Nr. 3 Buchstabe a, b, d

BayDSG).

Form und Inhalt der Information 6.5.3

Die Informationen sind nach Art. 12 DSGVO in präziser, transparenter,

verständlicher, leicht zugänglicher Form und in einer klaren und einfachen

Sprache zu erteilen. Bei Angeboten, die sich speziell an Kinder richten, ist eine für

Kinder verständliche Sprache zu verwenden. Die Information erfolgt schriftlich

oder in anderer Form, ggf. auch elektronisch.

Erhebungen im Internet

Bei der Erhebung mittels Eingabeformular auf einer Internetseite reicht es aus,

wenn auf der Erhebungsseite ein deutlich sichtbarer Link auf die Informationen

nach Art. 13 Abs. 1 und Abs. 2 DSGVO enthalten ist.

Erhebungen auf Papierformularen

a) Möglichkeit 1: Vollständige Information auf Papi er

Die betroffene Person kann über alle in Art. 13 Abs. 1 und Abs. 2 DSGVO

vorgeschriebenen Angaben auf dem jeweiligen Antrags- oder sonstigen

Erhebungsformular oder durch ein zusätzliches Hinweispapier informiert werden.

In diesem Fall sind die im beiliegenden Mustertext 1 enthaltenen Angaben

vollständig und auf das jeweilige Erhebungsformular angepasst abzudrucken.

Bereits bestehende Formulare für Datenerhebungen sind an die neuen

gesetzlichen Vorgaben anzupassen und zu ergänzen.

b) Möglichkeit 2: Aufteilung der Informationen in G rundinformationen und

weitergehende Informationen

- 60 -

Es ist allerdings nicht erforderlich, sämtliche Informationen nach Art. 13 Abs. 1 und

Abs. 2 DSGVO unmittelbar auf dem Formular abzudrucken. Die Informationen

können auch aufgeteilt werden:

• In Grundinformationen, die direkt auf dem Erhebungsformular stehen und

• weitergehende Informationen, die im Internet oder bei der erhebenden

Behörde erhältlich sind.

Grundinformationen

Zu den Grundinformationen, die auf dem Erhebungsformular mitzuteilen sind,

gehören bei einer Erhebung personenbezogener Daten zur Erfüllung öffentlicher

Aufgaben

• der Name und die Kontaktdaten des Verantwortlichen (Art. 13 Abs. 1

Buchstabe a DSGVO)

• die Zwecke, für die die Daten erhoben werden sollen, sowie die

Rechtsgrundlage der Verarbeitung (Art. 13 Abs. 1 Buchstabe c DSGVO)

• die Kontaktdaten des behördlichen Datenschutzbeauftragten (Art. 13 Abs.

1 Buchstabe b DSGVO) und

• die Empfänger oder Kategorien von Empfängern der personenbezogenen

Daten (Art. 13 Abs. 1 Buchstabe e DSGVO).

Ergänzend ist auf dem Erhebungsformular anzugeben, wo weitergehende

Informationen erhältlich sind, z.B. auf einer konkret anzugebenden Internetseite

oder – etwa in Form eines Ausdrucks – beim zuständigen Sachbearbeiter der

Behörde. Auch bei Angabe einer Internetseite sollte für Personen, die keinen

Internetzugang haben, zusätzlich eine Stelle angegeben werden, wo die

Informationen in Papierform, bzw. auf Verlangen auch in mündlicher Form, zu

erhalten sind.

Beispiel für die Formulierung einer Grundinformation:

„Hinweise zum Datenschutz nach Art. 13 Datenschutz-Grundverordnung

(DSGVO)

Verantwortlich für die Verarbeitung dieser Daten ist … (Name, Postadresse E-

Mail-Anschrift und Telefonverbindung der verarbeitenden öffentlichen Stelle). Die

Daten werden erhoben, um …(Angabe des Verwendungszweck).

Rechtsgrundlage der Verarbeitung ist … (Angabe der Rechtsgrundlage).

Weitere Informationen über die Verarbeitung Ihrer Daten und Ihre Rechte bei der

Verarbeitung Ihrer Daten können Sie im Internet unter … (Angabe einer

- 61 -

Internetadresse) abrufen. Alternativ erhalten Sie diese Informationen auch von

Ihrem zuständigen Sachbearbeiter oder von unserem behördlichen

Datenschutzbeauftragten, den Sie unter … (Postadresse E-Mail-Anschrift und

Telefonverbindung des behördlichen Datenschutzbeauftragten) erreichen können.“

Bei landes- oder bundesweit einheitlichen Formularen ist es ausreichend, wenn

der Verantwortliche in allgemein verständlicher Form bezeichnet wird, z.B.

„Verantwortlich für die Verarbeitung dieser Daten ist Ihr zuständiges Landratsamt /

ihre zuständige Gemeindeverwaltung“ oder der Verantwortliche aus den

Umständen der Erhebung ersichtlich ist. (z.B. daran, von welcher Behörde das

Erhebungsformular zugesandt wurde bzw. an welche Behörde das ausgefüllte

Formular übersandt werden soll oder in welcher Behörde das Formular persönlich

abgeholt wurde). Gleiches gilt für den behördlichen Datenschutzbeauftragten.

Weitergehende Informationen

Ergänzend zu den Grundinformationen ist unter der angegebenen Internetadresse

ein auf das jeweilige Erhebungsformular bezogener vollständiger

Datenschutzhinweis bereitzustellen, der die vollständigen Angaben nach Art. 13

Abs. 1 und Abs. 2 DSGVO enthält. Der zuständige Sachbearbeiter oder der

behördliche Datenschutzbeauftragte können ggf. einen Ausdruck dieses

vollständigen Datenschutzhinweises aushändigen oder – auf Verlangen der

betroffenen Person – die weiteren Informationen mündlich geben.

Für jede Verarbeitungstätigkeit einer Behörde, die an ein Formular oder einen

Antrag anknüpft (z.B. Bauantrag, Beihilfeantrag, Kfz-Zulassungsantrag), sind

somit spezifische Informationen – etwa unter Verwendung von Mustertext 1 – auf

einer Website bereitzustellen. Im Ergebnis werden damit auf der Homepage einer

Behörde viele unterschiedliche Hinweise mit Information nach Art. 13 DSGVO zum

Abruf zur Verfügung zu stellen sein.

Die Informationspflicht bei mündlichen Datenerhebun gen

Auch bei mündlichen Datenerhebungen besteht die Informationspflicht nach

Art. 13 DSGVO. Es muss der betroffenen Person stets klar sein, wer der

Verantwortliche ist und für welchen Zweck die Daten erhoben werden. Sofern sich

dies nicht aus den Umständen ergibt oder der betroffenen Person nicht ohnehin

bekannt ist, ist dies mitzuteilen.

- 62 -

Auf Nachfrage der betroffenen Person sind die weiteren o.g. Grundinformationen

(insbesondere die Rechtsgrundlage der Verarbeitung und die Kontaktdaten des

behördlichen Datenschutzbeauftragten) mitzuteilen und anzugeben, wo ggf.

weitergehende Informationen zur Verfügung gestellt werden. Für häufig

auftretende Konstellationen wird zu empfehlen sein, ergänzende Hinweisblätter

zur Verfügung zu stellen.

6.6 2. Fallgruppe: Informationspflicht bei einer Er hebung nicht bei der be-

troffenen Person

Die Erhebung von Daten nicht bei der betroffenen Person kann aus allgemein

zugänglichen Quellen erfolgen (z.B. aus der Zeitung, dem öffentlich zugänglichen

Internet oder etwa durch Besichtigung der allgemein zugänglichen

Verkehrsflächen) oder bei öffentlichen oder nicht öffentlichen Dritten. Eine

Datenerhebung bei Dritten ist nach Art. 4 Abs. 2 Satz 2 BayDSG-E nur zulässig,

wenn

• die Datenerhebung bei Dritten durch Rechtsvorschrift vorgesehen oder

zwingend vorausgesetzt wird,

• die zu erfüllende Verwaltungsaufgabe ihrer Art nach oder im Einzelfall eine

solche Erhebung erforderlich macht und keine Anhaltspunkte bestehen,

dass überwiegende schutzwürdige Interessen der betroffenen Person

beeinträchtigt werden,

• die Erhebung bei der betroffenen Person einen unverhältnismäßigen

Aufwand erfordern würde oder keinen Erfolg verspricht, und keine

Anhaltspunkte bestehen, dass überwiegende schutzwürdige Interessen der

betroffenen Person beeinträchtigt werden oder

• die Daten von einer anderen öffentlichen Stelle an die erhebende Stelle

übermittelt werden dürfen.

Prüfschema:

Liegt eine Erhebung nach Art. 14 DSGVO vor? 6.6.1

Keine Erhebung liegt vor, wenn der Verantwortliche die Daten nicht aktiv

beschafft, sondern die Daten der öffentlichen Stelle „aufgedrängt“ werden (s.o.).

Eine Erhebung von Daten i.S. des. Art. 14 DSGVO liegt auch vor, wenn Daten von

einer öffentlichen Stelle oder nicht öffentlichen Stelle auf Anfrage übermittelt

werden. Eine solche Datenübermittlung löst – jedenfalls soweit keine

- 63 -

Zweckänderung vorliegt – keine Informationspflicht bei der übermittelnden Stelle

aus, vielmehr liegt dann aus Sicht der anfragenden öffentlichen Stelle eine

Erhebung bei Dritten vor.

Ausnahmen von der Informationspflicht 6.6.2

Ausnahmen von den Informationspflichten enthalten Art. 14 Abs. 5 DSGVO sowie

Art. 9 BayDSG. Weitere Ausnahmen können sich aus Fachgesetzen ergeben, z.B.

aus der Abgabenordnung (AO).

Eine Information der betroffenen Person ist danach nicht erforderlich, wenn und

soweit die betroffene Person bereits über die Informationen verfügt (Art. 14. Abs. 5

Buchstabe a DSGVO, s.o.).

Eine Information der betroffenen Person kann auch unterbleiben, soweit und

solange dies erforderlich ist

• zur Abwehr erheblicher Nachteile für das Gemeinwohl oder von Gefahren

für die öffentliche Sicherheit und Ordnung,

• zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur

Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen i.S. des.

§ 11 Abs. 1 Nr. 8 des Strafgesetzbuchs oder von Erziehungsmaßregeln

oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur

Vollstreckung von Bußgeldbescheiden sowie

• zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer

anderen Person

(Art. 9 Abs. 2 i.V.m. Art. 6 Abs. 2 Nr. 3 Buchstabe a, b, d BayDSG-E).

• wenn die Erteilung einer Information sich als unmöglich erweist oder einen

unverhältnismäßigen Aufwand erfordert, insbesondere bei Verarbeitungen

für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche

oder historische Forschungszwecke oder Statistikzwecke (Art. 14 Abs. 5

Buchstabe b DSGVO),

• wenn die Erlangung oder Offenlegung durch Rechtsvorschriften der Union

oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die

geeignete Maßnahmen zum Schutz der berechtigten Interessen vorsehen,

ausdrücklich geregelt ist oder

• wenn die personenbezogenen Daten einem Berufsgeheimnis unterliegen

und daher vertraulich behandelt werden müssen z.B. für Notare, Art. 14

Abs. 5 Buchstabe d DSGVO).

- 64 -

Form und Inhalt 6.6.3

Werden personenbezogene Daten nicht direkt bei der betroffenen Person

erhoben, weiß diese im Regelfall nicht von der Datenerhebung. Zur Information

der betroffenen Person wird daher in aller Regel eine aktive Kontaktaufnahme

erforderlich sein. Die notwendigen Informationen müssen nicht zwingend

schriftlich bereitgestellt werden, auch eine Information per E-Mail ist denkbar.

Auch hier ist es möglich, der betroffenen Person nur die Grundinformationen nach

Art. 14 Abs. 1 DSGVO mitzuteilen und darauf hinzuweisen, wo weitergehende

Informationen zur Verfügung gestellt werden (z.B. auf einer Internetseite, s.o.). Ein

Formulierungsvorschlag, der im Einzelfall um die konkreten Angaben zur

Verarbeitungstätigkeit zu ergänzen ist, findet sich in Mustertext 2.

6.7 3. Fallgruppe: Informationspflicht bei einer Zw eckänderung

Um eine faire und transparente Verarbeitung zu gewährleisten, muss die

betroffene Person separat informiert werden, wenn der Zweck, für den ihre Daten

verarbeitet werden sollen, nachträglich geändert werden soll.

Beabsichtigt der Verantwortliche, personenbezogene Daten für einen anderen

Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten

erhoben wurden, so hat er der betroffenen Person vor dieser Weiterverarbeitung

Informationen über den anderen Zweck und weitere maßgebliche Informationen

zur Verfügung zu stellen (Art. 13 Abs. 3 DSGVO bzw. Art. 14 Abs. 4 DSGVO).

Generell liegt keine Zweckänderung vor, wenn Daten für die in Art. 6 Abs. 1

BayDSG angegebenen Zwecke der Aufsicht und Kontrolle, Erstellung von

Geschäftsstatistiken, Rechnungsprüfung, Prüfung oder Wartung automatisierter

Verfahren der Datenverarbeitung und zur Gewährleistung der Netz- und

Informationssicherheit sowie, soweit nicht offensichtlich überwiegende

schutzwürdige Interessen der betroffenen Person entgegenstehen, zu eigenen

Ausbildungs- und Prüfungszwecken verwendet werden.

Diese Zwecke werden bei einer Verarbeitung personenbezogener Daten durch

öffentliche Stellen als Ausfluss ihrer Funktion und organisationsrechtlichen

Grundstrukturen neben deren jeweiligen aufgabenbezogenen Hauptzweck

regelmäßig mitverfolgt und müssen nicht angegeben werden.

- 65 -

Bei der Fallgruppe „Zweckänderung“ sind verschiedene Konstellationen zu

unterscheiden:

Zweckänderung innerhalb der öffentlichen Stelle, d ie die Daten bei der 6.7.1

betroffenen Person erhoben hat

Art. 13 Abs. 3 DSGVO beschreibt den Fall, dass die Öffentliche Stelle, die die

Daten bei der betroffenen Person erhoben hat, diese Daten im Nachhinein

innerhalb derselben öffentliche Stelle (also im Zuständigkeitsbereich desselben

Verantwortlichen) auch für einen anderen Zweck verarbeiten will. Für welchen

Zweck Daten erhoben werden, ist aus dem Verzeichnis der

Verarbeitungstätigkeiten ersichtlich und bei der Erhebung anzugeben (z.B. auf

dem Erhebungsformular nach Art. 13 Abs. 1 Buchst. c DSGVO).

Mustertext 1 enthält unter Nr. 11 eine entsprechende Formulierungshilfe.

Die betroffene Person ist auf den beabsichtigten neuen Verarbeitungszweck

hinzuweisen und es sind ihr die Informationen nach Art. 13 Abs. 2 DSGVO zur

Verfügung zu stellen.

Zweckänderung innerhalb der öffentlichen Stelle, d ie Daten nicht bei 6.7.2

der betroffenen Person erhoben hat

Art. 14 Abs. 4 DSGVO betrifft dabei den Fall, dass eine öffentliche Stelle Daten

nicht bei der betroffenen Person erhoben hat und innerhalb derselben öffentliche

Stelle (also im Zuständigkeitsbereich desselben Verantwortlichen) diese Daten im

Nachhinein auch zu einem anderen Zweck verarbeitet werden sollen. Mustertext 2

enthält unter Nr. 12 eine entsprechende Formulierungshilfe.

Die betroffene Person ist auf den beabsichtigten neuen Verarbeitungszweck

hinzuweisen und es sind ihr die Informationen nach Art. 14 Abs. 2 DSGVO zur

Verfügung zu stellen.

Keine Informationspflicht bei Übermittlung von Dat en an eine andere 6.7.3

öffentliche Stelle auf deren Ersuchen

Keine Informationspflicht besteht jedenfalls bei der Übermittlung von Daten an

eine andere öffentliche Stelle auf deren Ersuchen, soweit damit keine Änderung

des Erhebungszwecks verbunden ist. Eine solche Datenübermittlung löst keine

- 66 -

erneute Informationspflicht bei der datenabgebenden Stelle aus, vielmehr liegt

dann aus Sicht des Datenempfängers – wenn kein Ausnahmetatbestand gegeben

ist – eine Erhebung bei Dritten vor. In diesem Fall hat also der Datenempfänger

entsprechend dem Mustertext 2 eine umfassende Information der betroffenen

Person sicherzustellen und dabei unter Nr. 5 „Angabe der Quelle“ darzulegen, von

welcher anderen Stelle die Daten übermittelt wurden.

- 67 -

6.8 Mustertext 1: Informationspflichten bei einer E rhebung von Daten bei

der betroffenen Person Art. 13 DSGVO

Linke Spalte: Textvorschlag Rechte Spalte: Ausfüllhinweise Sofern bei den Ausfüllhinweisen auf das Verarbeitungsverzeichnis Bezug genommen wird, ist Folgendes zu beachten: Es ist stets zu prüfen, ob die im Verarbeitungsverzeichnis zu dem „Oberbegriff“ der jeweiligen Verarbeitungstätigkeit enthaltenen Angaben hinsichtlich der konkreten Verarbeitung, für die das Informationsblatt verwendet werden soll, einschlägig sind. 1. Bezeichnung der Verarbeitungstätigkeit

Datenschutzhinweise im Zusammenhang mit … (Bauantrag, Beihilfeantrag usw.)

Entspricht der Bezeichnung der Verarbeitungstätigkeit in Nr. 1 des Verarbeitungsverzeichnisses.

2. Name und Kontaktdaten des Verantwortlichen

Verantwortlich für die Datenerhebung ist … Bezeichnung, Anschrift, E-Mail-Adresse und Telefonnummer der öffentlichen Stelle .

Entspricht der Angabe des Verantwortlichen in Nr. 1 des Verarbeitungsverzeichnisses

3. Kontaktdaten des Datenschutzbeauftragten

Dienstliche Anschrift, E-Mail-Adresse und Telefonnummer des behördlichen Datenschutzbeauftragten.

Entspricht der Angabe in Nr. 1 des Verarbeitungsverzeichnisses - der Name des behördlichen Datenschutzbeauftragten muss hier nicht genannt werden Für den behördlichen Datenschutzbeauf-tragten wird die Einrichtung einer Funkti-ons-E-Mail-Adresse empfohlen.

4. Zwecke und Rechtsgrundlagen der Verarbeitung

4a) Zwecke der Verarbeitung: Ihre Daten werden dafür erhoben, um ... (Zwecke aufzählen, ggf. mit Spiegelstrichen).

Entspricht Nr. 2 im Verarbeitungsverzeichnis. Es empfiehlt sich, hier möglichst alle (auch vorhersehbare zukünftige Zwecke) mit anzuführen, um eine erneute Informationspflicht nach Art. 13 Abs. 3 DSGVO bei Zweckänderungen zu vermeiden. Die Zwecke müssen hinreichend bestimmt und eindeutig bezeichnet sein (Art. 5 Abs. 1 Buchst. b DSGVO). Die Zwecke, die in Art. 6 Abs. 1 BayDSG-E genannt werden, müssen hier nicht angegeben werden.

- 68 -

4b) Rechtsgrundlagen der Verarbeitung Ihre Daten werden auf Grundlage von Art. 6 Abs. 1 Buchstabe … DSGVO in Verbindung mit (ggf. spezifische Rechtsgrundlage nennen) verarbeitet.

Entspricht Nr. 2 im Verarbeitungsverzeichnis Soweit keine gesetzliche Regelung im bereichsspezifischen oder allgemeinen nationalen Datenschutzrecht besteht (wie etwa auch Art. 4 Abs. 1 BayDSG) besteht, kommen als Rechtsgrundlagen die Tatbestände nach Art. 6 – bei besonderen Kategorien personenbezogener Daten Art. 9 DSGVO in Verbindung mit Art. 8 BayDSG - in Betracht. Nach Art. 4 Abs.1 BayDSG-E ist die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zulässig, wenn sie zur Erfüllung einer ihr obliegenden Aufgabe erforderlich ist. Sind mehrere Rechtsgrundlagen einschlägig, so sollte der Verantwortliche alle nennen. Zu beachten ist, dass bereichsspezifische Rechtsgrundlagen dem BayDSG-E vorgehen (BayDSG als „Auffanggesetz, vgl. Art. 1 Abs. 5 BayDSG). Die Rechtsgrundlage zur Verarbeitung im berechtigten Interesse des Verantwortlichen (Art. 6 Abs. 1 Buchstabe f DSGVO) kommt für Behörden im Rahmen ihrer hoheitlichen Aufgaben nicht in Betracht (Art. 6 Abs. 1 Unterabsatz 2 DSGVO).

5. Empfänger oder Kategorien von Empfängern der per sonenbezogenen

Daten

Ihre personenbezogenen Daten werden weitergegeben an: - … (Empfänger innerhalb der Behörde/ Kommune) - … (Auftragsverarbeiter) - … (Dritte) , um …

Entspricht Nr. 5 im Verarbeitungsverzeichnis Diese Angabe ist nur zu machen, wenn auch Personen außerhalb der erhebenden Organisationseinheit die personenbezogenen Daten erhalten sollen. Als Empfänger gelten: - andere Organisationseinheiten mit ande-ren Aufgaben innerhalb der öffentlichen Stelle, - Auftragsverarbeiter, - Dritte außerhalb der öffentlichen Stelle. Es empfiehlt sich eine kurze Erläuterung, warum die Daten den Empfängern offengelegt werden. Evtl. ist darauf auch schon bei Ziffer 4 einzugehen (Zwecke und Rechtsgrundlagen).

- 69 -

6. Übermittlung von personenbezogenen Daten an ein Drittland

Es ist geplant, Ihre personenbezogenen Daten an … ( ein Drittland/eine internationale Organisation ) zu übermitteln. Textvorschlag bei vorliegendem Angemessenheitsbeschluss (Art. 45 DSGVO): Die EU-Kommission hat am … beschlossen, dass die personenbezogenen Daten in … genauso geschützt sind wie in der Europäischen Union.

Entspricht Nr. 6 im Verarbeitungsverzeichnis Drittländer sind Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Bei einer Datenübermittlung in Drittländer sind die Zulässigkeitsvoraussetzungen des Kapitel V, Art. 44 bis 50 der DSGVO zu beachten. Angemessenheitsbeschlüsse der EU-Kommission nach Art. 45 DSGVO sind auf der Website der EU-Kommission abrufbar (unter http://ec.europa.eu/justice/data-protection/international-transfers/adequacy/index_en.htm). Eine zulässige Veröffentlichung personenbezogener Daten im Internet ist keine Übermittlung von personenbezogenen Daten an ein Drittland in diesem Sinne.

7. Dauer der Speicherung der personenbezogenen Dat en

Ihre Daten werden nach der Erhebung … (für 1 Jahr, längstens … Jahre, bis zur Volljährigkeit usw .) gespeichert. Alternative, falls keine Fristen benennbar sind: Ihre Daten werden nach der Erhebung bei der Name der Behörde/ /Kommune so lange gespeichert, wie dies unter Beachtung der gesetzlichen Aufbewahrungsfristen gemäß ( Angabe der Vorschriften ) für die jeweilige Aufgabenerfüllung ( hier möglichst genaue Umschreibung der zu erfüllenden Aufgabe/n, ggf. auch hinsichtlich Dokumentationspflichten ) erforderlich ist.

Entspricht Nr.7 im Verarbeitungsverzeichnis Anzugeben ist regelmäßig der Zeitpunkt, zu dem die Daten zur Erfüllung des Fachrechts einschließlich evtl. bestehender Dokumentations- oder Aufbewahrungspflichten nicht mehr erforderlich sind. Nicht ausreichend wäre eine Speicherdauer nur bis zum Abschluss des konkreten „Arbeitsschrittes“, beispielsweise der Erteilung der Baugenehmigung. Die Erfüllung von Dokumentationspflichten ist regelmäßig Teil der Aufgabenerfüllung. Behörden und öffentliche Stellen haben daneben die Grundsätze der ordnungsgemäßen Aktenführung insbesondere der Aktenvollständigkeit zu berücksichtigen. Wenn für die Speicherdauer im konkreten Fall allgemein bekannte, gesetzliche Vorgaben bestehen, kann auf diese verwiesen werden. Hier sind möglichst genaue Angaben zu machen. Nur im Ausnahmefall sollte die allgemeine

- 70 -

Formulierung (Alternative) verwendet werden. Soweit öffentliche Stellen verpflichtet sind, Unterlagen einem staatlichen Archiv anzubieten, darf eine Löschung erst erfolgen, nachdem die Unterlagen einem Archiv angeboten wurden (Art. 26 Abs. 6 BayDSG).

8. Betroffenenrechte

Nach der Datenschutz-Grundverordnung stehen Ihnen folgende Rechte zu: Werden Ihre personenbezogenen Daten verarbeitet, so haben Sie das Recht Auskunft über die zu Ihrer Person gespeicherten Daten zu erhalten (Art. 15 DSGVO). Sollten unrichtige personenbezogene Daten verarbeitet werden, steht Ihnen ein Recht auf Berichtigung zu (Art. 16 DSGVO). Liegen die gesetzlichen Voraussetzungen vor, so können Sie die Löschung oder Einschränkung der Verarbeitung verlangen sowie Widerspruch gegen die Verarbeitung einlegen (Art. 17, 18 und 21 DSGVO). Wenn Sie in die Datenverarbeitung eingewilligt haben oder ein Vertrag zur Datenverarbeitung besteht und die Datenverarbeitung mithilfe automatisierter Verfahren durchgeführt wird, steht Ihnen gegebenenfalls ein Recht auf Datenübertragbarkeit zu (Art. 20 DSGVO). Sollten Sie von Ihren oben genannten Rechten Gebrauch machen, prüft die öffentliche Stelle, ob die gesetzlichen Voraussetzungen hierfür erfüllt sind. Weiterhin besteht ein Beschwerderecht beim Bayerischen Landesbeauftragten für den Datenschutz.

Bei einzelnen Verarbeitungstätigkeiten können sich Einschränkungen der genannten Rechte ergeben. Schließen fachgesetzliche Vorschriften die in der linken Spalte genannten Rechte der betroffenen Person aus, sind die Formulierungen entsprechend anzupassen. Beispiel: kein Recht auf Berichtigung gem. Art. 16 DSGVO bei Verarbeitungen zu Archivzwecken (vgl. Art. 26 Abs. 4 Satz 1 BayDSG-E). Aufsichtsbehörde für bayerische öffentliche Stellen ist der Bayerische Landesbeauftragte für den Datenschutz (im Detail vgl. Art. 15 Abs. 1BayDSG-E), sofern bereichsspezifisch nichts anderes bestimmt ist (vgl. etwa § 32h AO-neu).

- 71 -

9. Widerrufsrecht bei Einwilligung

Wenn Sie in die Verarbeitung durch die … (Name der öffentlichen Stelle) durch eine entsprechende Erklärung eingewilligt haben, können Sie die Einwilligung jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Datenverarbeitung wird durch diesen nicht berührt.

Diese Information ist nur zu erteilen, wenn die Verarbeitung auf einer Einwilligung der betroffenen Person beruht (Art. 6 Abs.1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO).

10. Pflicht zur Bereitstellung der Daten

Sie sind dazu verpflichtet, Ihre Daten anzugeben. Diese Verpflichtung ergibt sich aus … ( Gesetz, Vertrag ). Die … (Name der öffentlichen Stelle) benötigt Ihre Daten, um … (z.B. Ihren Antrag auf … zu bearbeiten, den Vertrag mit Ihnen abschließen zu können ). Wenn Sie die erforderlichen Daten nicht angeben, ... - kann Ihr Antrag nicht bearbeitet werden, - kann der Vertrag mit Ihnen nicht abgeschlossen werden, - kann nach Art. … ein Bußgeld verhängt werden, - können folgende Maßnahmen ergriffen werden … (usw.)

Diese Information ist nur zu geben, wenn die betroffene Person dazu verpflichtet ist, die personenbezogenen Daten anzugeben. Die Verpflichtung kann sich aus Gesetz oder Vertrag ergeben oder für einen Vertragsabschluss erforderlich sein. Bitte verpflichtende Rechtsgrundlage einfügen und zutreffende Folgen bei Nichtangabe ergänzen.

11. Sonderfall: Informationspflicht für den Fall e iner späteren

Zweckänderung

In diesem Fall ist der Text bei vorstehender Nr. 4a durch folgenden Text zu ersetzen. Im Übrigen sind mindestens die Informationen nach Art. 13 Abs. 2 DSGVO im Hinblick auf den geänderten Zweck mitzuteilen: Die Name der öffentliche Stelle hat personenbezogene Daten von Ihnen erhoben, um … ( ursprüngliche Zwecke nennen ). Die Name der öffentliche Stelle beabsichtigt nun, diese Daten zu verarbeiten, um … (neue Zwecke

Diese Information muss vor der beabsichtigten Weiterverarbeitung erfolgen. Der Zweck einer Verarbeitung ergibt sich regelmäßig aus den Angaben im Verarbeitungsverzeichnis und aus dem Erhebungsformular. Diese Informationspflicht gilt für Fälle, in denen die öffentliche Stelle die Daten im Nachhinein für einen anderen Zweck weiterverarbeiten will, als bei der Erhebung angegeben wurde. Sie besteht nicht, wenn

- 72 -

nennen).

die Daten für den gleichen Zweck, der bei der Erhebung angegeben wurde an Dritte übermittelt werden. Wenn die Daten an einen Dritten bzw. einen anderen Verantwortlichen auf dessen Anfrage übermittelt werden ist ggf. der Empfänger informationspflichtig.

- 73 -

6.9 Mustertext 2: Informationspflichten bei einer Erheb ung von Daten nicht

bei der betroffenen Person, Art. 14 DSGVO

Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, sondern z.B. bei Dritten, sind der betroffenen Person die im Folgenden aufgezählten Informationen zu geben. Linke Spalte: Textvorschlag Rechte Spalte: Ausfüllhinweise 1. Anlass der Erhebung

Wir haben Daten von Ihnen im Zuge des (Bezeichnung des Verfahrens, z.B. Bauantrag, Beihilfeantrag) erhoben.

Die Bezeichnung sollte allgemeinverständlich sein und den jeweiligen Zweck erkennen lassen.

2. Name und Kontaktdaten des Verantwortlichen

Siehe Nr. 2 in Mustertext 1

3. Kontaktdaten des Datenschutzbeauftragten


4. Zwecke und Rechtsgrundlagen der Datenverarbeitu ng

Siehe Nr. 4a und 4b in Mustertext 1

5. Quelle der Daten

Ihre Daten haben wir bei … erhoben .

Anzugeben ist die Quelle, aus der die Da-ten stammen, ggf. auch, ob sie aus öffent-lich zugänglichen Quellen stammen.

6. Kategorien der personenbezogenen Daten, die ver arbeitet werden

Die öffentliche Stelle verarbeitet folgen-de personenbezogene Daten von Ihnen: - ... - ... - ...

Entspricht Nr. 3 im Verarbeitungsverzeich-nis Unter Kategorien sind aussagefähige Oberbegriffe zu verstehen, z.B. „Name und Vorname“, „Anschrift“, „Staatsangehörig-keit“. Angaben rein technischer Art (z.B. Feldnummern, Schlüsselnummern usw.) sind nicht erforderlich.

- 74 -

7. Empfänger oder Kategorien von Empfängern der pe rsonenbezogenen Daten


8. Übermittlung von personenbezogenen Daten an ein Drittland


9. Dauer der Speicherung der personenbezogenen Dat en


10. . Betroffenenrechte


11. Widerrufsrecht bei Einwilligung


12. Sonderfall: Informationspflichten für den Fall einer späteren

Zweckänderung

Die …(Name der öffentliche Stelle) hat bei … (Name des Dritten, bei dem ursprünglich die Daten erhoben wurden ) personenbezogene Daten von Ihnen erhoben, um … ( ursprüngliche Zwecke nennen ). Die … (Name der öffentliche Stelle) beabsichtigt nun, diese Daten zu verarbeiten, um … ( neue Zwecke nennen ).

In diesem Fall ist der Text bei vorstehender Nr. 4a durch folgenden Text zu ersetzen. . Im Übrigen sind mindestens die Informationen nach Art. 14 Abs. 2 DSGVO im Hinblick auf den geänderten Zweck mitzuteilen. Diese Information muss vor der beabsichtigten Weiterverarbeitung erfolgen. Diese Informationspflicht gilt für Fälle, in denen die öffentliche Stelle die Daten im Nachhinein innerhalb derselben öffentlichen Stelle (also im Zuständigkeitsbereich desselben Verantwortlichen) für einen anderen Zweck weiterverarbeiten will, als der Erhebung zugrunde lag. Diese Informationspflicht besteht nicht, wenn die Daten für den gleichen Zweck an Dritte übermittelt werden. Wenn die Daten auf Anfrage an einen Dritten bzw. einen anderen Verantwortlichen übermittelt werden ist ggf. der Empfänger informationspflichtig.

- 75 -

7. Auftragsverarbeitung

(Wird ergänzt)

- 76 -

8. Datenschutz-Folgenabschätzung und Risikobewertung nach der DSGVO

Nach Art. 35 und 36 DSGVO ist für Formen der Verarbeitung, die „insbesondere

bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Um-

stände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die

Rechte und Freiheiten natürlicher Personen zur Folge“ haben, vorab eine Daten-

schutz-Folgenabschätzung durchzuführen. Ergänzende Regelungen hierzu trifft

Art. 14 BayDSG.

Voraussetzungen und Durchführung dieser Datenschutz-Folgenabschätzung

unterscheiden sich erheblich von der bisherigen datenschutzrechtlichen Frei-

gabe nach Art. 26 BayDSG. Insbesondere ist nicht für jedes bisher freigabe-

pflichtige Verfahren künftig eine Datenschutz-Folgenabschätzung durchzufüh-

ren.

Für bereits laufende Verarbeitungen, die ohne wesentliche Änderungen fortgeführt

werden und die eine Datenschutz-Folgenabschätzung erfordern, ist diese in einer

Übergangsfrist spätestens bis zum 25. Mai 2021 nachzuholen. In diesen Fällen ist

jedoch in der jeweiligen Beschreibung der Verarbeitungstätigkeiten zumindest

anzugeben, ob von einer Form der Verarbeitung möglicherweise ein hohes Risiko

für die Betroffenen ausgeht. Zum Begriff des „datenschutzrechtlichen Risikos“ ent-

halten die Nummern 84 bis 92 der DSGVO-Erwägungsgründe nähere Ausführun-

gen.

Der Landesbeauftragte für den Datenschutz wird eine – nicht abschließende –

Liste von Verarbeitungen veröffentlichen, für die eine Datenschutz-

Folgenabschätzung durchzuführen ist.

Die DSGVO beschreibt die Voraussetzung und das Verfahren der Datenschutz-

Folgenabschätzung nur allgemein. Etablierte Praxismodelle für deren Durchfüh-

rung fehlen bislang. Die Arbeitshilfe wird deshalb zu gegebener Zeit ergänzt.

- 77 -

9. Muster einer Zweckvereinbarung für einen gemeinsamen behördlichen Datenschutzbeauftragten

(Wird ergänzt)

- 78 -

10. Mitwirkende

Diese Arbeitshilfen wurden vom Staatsministerium des Innern, für Bau und Ver-

kehr unter Beteiligung des Bayerischen Landesbeauftragten für den Datenschutz

erstellt. An der Erstellung der Arbeitshilfen waren im Rahmen einer Arbeitsgruppe

auch Vertreter des Staatsministeriums der Finanzen, für Landesentwicklung und

Heimat, der kommunalen Spitzenverbände und der kommunalen Praxis maßgeb-

lich beteiligt, denen wir an dieser Stelle für ihre konstruktive Mitarbeit ausdrücklich

danken:

Frau Gudrun Aschenbrenner, Anstalt für Kommunale Datenverarbeitung in Bay-

ern;

Herr Bernd Bauer-Banzhaf, Stadt Bamberg;

Herr Dr. Stephan Bobe, Staatsministerium der Finanzen, für Landesentwicklung

und Heimat;

Herr Jochen Dann, Stadt Aschaffenburg;

Frau Anna Distler, Landeshauptstadt München;

Frau Daniela Duda, Vorsitzende des ERFA-Kreis Bayern der GDD e.V.;

Herr Joachim Fackler, Staatsministerium der Finanzen, für Landesentwicklung und

Heimat;

Frau Brigitte Frey, Landeshauptstadt München;

Herr Klaus Geiger, Bayerischer Landkreistag;

Frau Irmgard Gihl, Bayerischer Bezirketag;

Frau Annette Holl, Staatsministerium der Finanzen, für Landesentwicklung und

Heimat;

Herr Christian Hummel, Bezirk Oberpfalz;

Frau Marie Jungnickl, Stadt Nürnberg;

Herr Anton Knoblauch, Staatsministerium des Innern, für Bau und Verkehr;

Herr Thomas Koeckerbauer, Stadt Regensburg;

Herr Thomas Kraft, Stadt Fürth;

Herr Alexander Lutz, Staatsministerium der Finanzen, für Landesentwicklung und

Heimat;

Herr Dr. Marc Maisch, Lehrbeauftragter an der Hochschule für den öffentlichen

Dienst in Bayern;

Frau Elisabeth Mayer, Landkreis Regensburg;

- 79 -

Herr Bernd Mikolai, Stadt Ansbach;

Frau Korinna Pöppl, Anstalt für Kommunale Datenverarbeitung in Bayern;

Frau Helga Richter, Stadt Würzburg;

Herr Robert Santl, Staatsministerium des Innern, für Bau und Verkehr;

Herr Jens Schmidt, Landratsamt Nürnberger Land;

Herr Winfried Schober, Bayerischer Gemeindetag;

Herr Roland Schulze, Stadt Kempten;

Herr Alexander Seidl, Hochschule für den öffentlichen Dienst in Bayern;

Herr Richard Stelzer, Bayerischer Städtetag;

Herr Dr. Matthias Stief, Landesbeauftragter für den Datenschutz;

Herr Michael Will, Staatsministerium des Innern, für Bau und Verkehr;

Frau Karin Wölfl, Staatsministerium des Innern, für Bau und Verkehr.

Documents

zur praktischen Umsetzung der Datenschutz … · zum Datenschutz bei Polizei und Justiz) in das Recht der Mitgliedstaaten umzusetzen. ... Fragestellungen werden die Arbeitshilfen